Co dokładnie robi VAPT? NIST SP 800- 115 Granica dla oceny zmniejszenia różnic i testów penetracji

VAPT (ocena wrażliwości i test implementacji, ocena braków i test infiltracji) jest prawie najbardziej używanym i łatwo mylącym zestawem skrótów. Lista zakupów zawierała "VAPT services once" i mogła zostać dostarczona albo przez kilka raportów skanujących, albo przez reset tras wtargnięcia - różnica między cenami a wartością. Niniejszy dokument opisuje granice w świetle jednego z najbardziej autorytatywnych podejść publicznych: SP 800- 115 Narodowego Instytutu Norm i Technologii Stanów Zjednoczonych Ameryki.

Ocena braków a test penetracji: wykaz VA, naruszenie weryfikacji PT

I. Granica między VA a PT: zepsuty punkt NIST

Oryginalne oświadczenie NIST jest bardzo bezpośrednie:Skaner szczelności sprawdza tylko, że może być luka, podczas gdy faza ataku penetracji jest rzeczywiście używany do potwierdzenia jego istnienia.Nie wiem. Jest to zasadniczy podział pracy między:

Ocena braków (VA): Identyfikacja partii hostów, usług, aplikacji, wyjście z "jak wiele otworów, jak poważne" listy są porównywane do luki (np. NVD). Stopień automatyzacji i zasięgu był wysoki, ale raport został błędnie zgłoszony i w dużej mierze nie odpowiedział "jak daleko te otwory mogą iść w połączeniu".
Badanie infiltracyjne (PT): Symulacja prawdziwego napastnika, uruchomienie prawdziwego ataku na wybrany cel. NIST podkreśla w szczególności, że większość testów penetracyjnych jest warta sprawdzenia.Grupa luk w poszczególnych lub wielu systemach- większy dostęp niż jakakolwiek pojedyncza luka.

Jedno zdanie:VA to badanie medyczne, PT to ćwiczenie dla osób rzeczywistych.Nie wiem. Oba rodzaje zamówień są często pakowane na miejscu zgodności, ale musi być jasne w momencie odbioru i kontroli: czy walidacja została rzeczywiście wykorzystana? A może Nessus właśnie przekazał formularze eksportowe?

II. METODOLOGIA NIST IV

NIST SP 800- 115 Cztery etapy testu infiltracyjnego: Plan, Odkrycie, Atak, Sprawozdawczość

SP 800- 115 sekcja 5.2.1 dzieli testy infiltracji na cztery etapy (rysunek 5-1):

Program planowaniaZasady identyfikacji, uzyskiwanie zatwierdzenia kierownictwa i zapisywanie, wyznaczanie celów testowych. NIST określa:Na tym etapie żadnych badań.Ale to podstawa całego testu.
Odkrycie: Zbieranie informacji i analiza luk. Identyfikacja portu i usługi, zapytanie DNS / WHOIS, złapanie bannera, Enumerator NetBIOS (tylko testy wewnętrzne); następnie porównać to, co zostało wyczyszczone z luką. To tylko powolne dla człowieka złapać nową usterkę ze skanera.
Atak: Rdzeń testu. Potencjalne luki, które zostały zidentyfikowane, są wykorzystywane w poszczególnych przypadkach; sukces jest weryfikowany przy wyraźnej reakcji na środki łagodzące; w przypadku korzystania z energii elektrycznej, realny poziom ryzyka sieci jest nadal analizowany; a szczególna luka nie porusza się. Pomiędzy atakiem a odkryciem,Pierścień zwrotny- Kiedy nowy podnóżek zostanie zabezpieczony, będzie on zbierany, ponownie testowany, wiele testów toczenia systemu.
Sprawozdanie z działalnościNie ostatni, ale ostatni.Synchronizuj z pozostałymi trzema fazamiZapis kontroli granicznej.

NIST przypomina również, że jest to tylko "akceptowalny podział", ale procesy głównego nurtu przemysłu (w tym standardy OWASP WSTG i PTS) można dopasować do tego szkieletu: OWASP Web Safety Test Guide jest testem aplikacji internetowej de facto publicznego podręcznika, a PTES spisał sześcioczęściowy standard wspólnotowy dla pre- interakcji / gromadzenia informacji / modelowania zagrożeń / wykorzystania / stosowania po-użyciu / raportowania.

III. Overt lub Covert: Prefigurowanie zasad gry

NIST dzieli testy bezpieczeństwa na dwie kategorie w zależności od poziomu wiedzy:Badanie zaoczneprowadzone za wiedzą i zgodą zespołu informatycznego, w celu znalezienia możliwie najpełniejszej dziury;Test konfrontacji pokrywy (czarny kapelusz)Obrona nie jest powiadamiana, a prawdziwa organizacja konfrontacyjna jest badana pod kątem szkód, które może spowodować, a odpowiedź jest testowana. Te dwa cele są zupełnie inne i nie wykorzystują raportu skanującego do stwierdzenia obu skutków. W każdym razie,Najpierw zasady zaręczyn.: zakres, okres czasu, zabronione działania (np. DoS, usunięcie danych produkcyjnych), warunki zaprzestania produkcji, kontakt awaryjny, wszystkie zapisane - dodatek B NIST bezpośrednio do szablonu ROE. Testy infiltracyjne naturalnie obejmują prawdziwe systemy i prawdziwe dane, bez "testów infiltracyjnych ROE", które są wynikiem nielicencjonowanego zabójstwa.

VAPT: Zasady zaangażowania, wybór sceny, połączenie ryzyka, sprawozdanie z lądowania

IV. Trzy enjoyments to A and B

A- A- A- A- R.1) wymagane są sprawozdania w celu rozróżnienia między "wykrywaniem skanów" a "zatwierdzonym wykorzystaniem", które jest jedynym godnym wniosków dotyczących wysokiego ryzyka; 2) koncentrować się na ścieżkach łączących i końcowych punktach lądowania (kontrola domen? Baza danych?) zamiast średniej punktacji CVSS; 3) sprawdź zakres testu za pomocą ROE w celu pokrycia aktywów w chmurze i API.

Pozycja zawodowa B(1) Etap Planu nie czyni niczego bez uzyskania pisemnej zgody, NIST pisze to zdanie w sekcji I metodologii; (2) raport jest zsynchronizowany, z odcinaniem, linią czasową i etapami odzysku są przechowywane na miejscu, a następnie rejestrowanie jest masową katastrofą; oraz (3) trzy główne kategorie nazwane przez CVE- NIST są tylko błędną konfiguracją (szczególnie niebezpieczne wartości domyślne), wewnętrzne wady jądrowe, rozpryski strefy buforowej, a większość linii obrony w rzeczywistych projektach są pierwsze.

Źródło: NIST SP 800- 115 (2008- 09), csrc.nist.gov / pubs / sp / 800 / 115 / final, PDF Sections 2.4.2, 4.3, 5.2.1 oraz Dodatek B / F; cross- certificate: owasp.org WSTG project page, Pentest- standard.org. Definicje i twierdzenia zawarte w tekście są określone w odpowiedniej sekcji tekstu pierwotnego.