Norsk

← Tilbake til listen

Hva gjør VAPT? NIST SP 800-115 grenser for vurdering av gapreduksjon og penetrasjonstest

itadol5j

VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test) er nesten det mest brukte og lett forvirret sett av forkortelser. Kjøpelisten inneholdt “VAPT-tjenester én gang” og kunne ha blitt levert enten av en rekke skannerapporter eller ved en reell tilbakestilling av inntrengningsruter - forskjellen mellom prisene og verdien. Denne artikkelen beskriver grenser i lys av en av de mest autoritative offentlige tilnærminger: SP 800-115 fra National Institute of Standards and Technology i USA.

Gap vurdering versus penetration test: VA-liste, PT-verifiseringsbrudd

I. Grense mellom VA og PT: NIST Point Broken

NISTs opprinnelige uttalelse er svært direkte:Lekkasjeskanneren kontrollerer bare at det kan være et loophole, mens penetrasjonstestfasen faktisk brukes til å bekrefte sin eksistens.Jeg vet ikke. Dette er den viktigste arbeidsfordelingen mellom de to:

  • Gap vurdering (VA): Batch identifisering av verter, tjenester, applikasjoner, utgang av \"hvor mange hull, hvor alvorlige\" lister er sammenlignet med et sløyfehull (f.eks. NVD). Graden av automatisering og dekning var høy, men rapporten ble feilrapportert og i stor grad ikke svarte \"hvor langt disse hullene kan gå i kombinasjon\".
  • Infiltrasjonstest (PT)Simulering av en ekte angriper, lansere et reelt angrep på et valgt mål. NIST understreker spesielt at de fleste penetration tester er verdt å finne ut.Gruppe av hull i individuelle eller flere systemer— større tilgang enn noen enkelt loophole.

En setning:VA er en medisinsk kontroll, PT er en reell-person øvelse.Jeg vet ikke. Begge typer innkjøp er ofte pakket på samsvarsscenen, men det må være klart på tidspunktet for mottak og inspeksjon: har valideringen faktisk blitt brukt? Eller har Nessus bare gitt ut eksportskjemaene?

II. NIST IV Fremgangsmåte

NIST SP 800-115 Fire faser av infiltration test: Plan, Discovery, Angrep, rapportering

SP 800-115 Seksjon 5.2.1 deler infiltrasjonsprøver i fire trinn (figur 5-1):

  • PlanleggingsplanIdentifikasjonsregler, å få styringsgodkjenning og nedskriving, å sette testmål. NIST spesifiserer:Ingen faktiske tester i dette stadiet.Men det er grunnlaget for hele testen.
  • Discovery funnetOpplysningsinnsamling og gapanalyse. Port- og tjenesteidentifikasjon, DNS/WHOIS-spørsel, Banner-grep, NetBIOS-telemaskin (kun internt testing); deretter sammenligne det som er blitt renset til sløyfehullet. Det er bare sakte for en mann å fange en ny glitch fra skanneren.
  • AngrepKjernen i testen. De potensielle hullene som har blitt identifisert, brukes fra tilfelle til tilfelle; suksessen blir bekreftet med en klar respons på lindringstiltak; når kraften brukes, fortsetter det virkelige risikonivået i nettverket å bli analysert; og et bestemt sløyfehull beveger seg ikke. Mellom angrepet og oppdagelsen,Feedback Ring— Når det nye fotholdet er sikret, vil det bli samlet inn, testet på nytt, flere systemrulleprøver.
  • RapporteringsrapportIkke det siste, men det siste.Synkroniser med de andre tre faseneGrensekontroll.

NIST minner også om at dette er bare en \"akseptabel divisjon\", men industri mainstream-prosesser (inkludert OWASP WSTG og PTS standarder) kan matches til dette skjelettet: OWASP Web Safety Test Guide er en webapplikasjonstest av de facto offentlig manual, og PTES har skrevet opp seks-dels fellesstandard for pre-interaksjon / intelligence samling / treat modellering / bruk / etter bruk / rapportering.

III. Overt eller Covert: Prefiksere reglene i spillet

NIST deler sikkerhetstester i to kategorier i henhold til kunnskapsnivå:Overt testOppført med kunnskap og samtykke fra IT-teamet, med det formål å finne så fullt hull som mulig;Covert (svart hatt) konfrontasjonstestForsvaret er ikke varslet, og den virkelige konfrontasjonsorganisasjonen blir undersøkt for skaden det kan forårsake, og responsen er testet. De to målene er helt forskjellige og ikke bruk en skannerrapport for å kreve begge effekter. Uansett,Regler for engasjement først.: omfang, tidsperiode, forbudte handlinger (f.eks. DoS, slette produksjonsdata), avbryte betingelser, nødkontakt, alle skriftlige - NIST Appendiks B direkte til ROE-malen. Infiltrasjonstester involverer naturlig ekte systemer og reelle data, uten ROE-infiltrasjonstester som utgjør et ulisensiert drap.

VAPT: Regler for engasjement, scenevalg, kombinasjon av risiko, landingsrapport

IV. TRE ENJOYMENTS TIL A OG B

A-A-A-A-R.1) rapporter er pålagt å skille mellom \"scan funn\" og \"validert bruk\", som er den eneste som er verdt høyrisikokonklusjoner; 2) fokus på kombinasjonsstier og sluttlandingssteder (domenekontroll? Database?) i stedet for CVSS gjennomsnittlig score; 3) sjekk omfanget av testen med ROE for å dekke skyen eiendeler og API.

Profesjonell posisjon B(1) Planstadiet gjør ikke noe uten skriftlig godkjenning, skriver NIST denne setningen i punkt I i metoden; (2) rapporten er synkronisert, med avskjæring, tidslinje og gjenoppretting trinn som holdes på stedet, og den påfølgende registreringen er en massekatastrofe; og (3) de tre hovedkategoriene som heter av CVE-NIST er bare feilkonfigurasjon (spesielt usikre standardverdier), interne kjernefysiske defekter, buffersonespill, og de fleste forsvarslinjene i faktiske prosjekter er de første.

Kilde: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Seksjoner 2.4.2, 4.3, 5.2.1 og tillegg B/F; krysssertifikat: owasp.org WSTG prosjektside, Pentest-standard.org. Definisjonene og påstandene i teksten er identifisert i den tilsvarende delen av den opprinnelige teksten.