What exactly does VAPT do? NIST SP 800-115 Boundary for gap reduction assessment and penetration testing

O VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test) é quase o conjunto de abreviaturas mais utilizado e facilmente confundido. A lista de compras continha “Serviços VAT uma vez” e poderia ter sido entregue por um monte de relatórios de digitalização ou por um real reset de rotas de intrusão - a diferença entre os preços e o valor. Este artigo descreve limites à luz de uma das abordagens públicas mais autoritárias: SP 800-115 do Instituto Nacional de Padrões e Tecnologia dos Estados Unidos da América.

Avaliação de gap versus teste de penetração: lista VA, violação da verificação PT

I. Limite entre VA e PT: NIST Point Broken

A declaração original da NIST é muito direta:O scanner de fugas só verifica que pode haver uma falha, enquanto a fase de ataque do teste de penetração é realmente usada para confirmar a sua existência.Não sei. Esta é a divisão essencial do trabalho entre os dois:

Avaliação da folga (VA): Identificação em lote de hosts, serviços, aplicações, saída de “quantos buracos, quão sérios” listas são comparadas a uma lacuna (por exemplo, NVD). O grau de automação e cobertura foi alto, mas o relatório foi mal relatado e em grande parte não respondeu “até onde esses buracos podem ir em combinação”.
Ensaio de infiltração (PT): Simulação de um atacante real, lançando um ataque real em um alvo selecionado. NIST enfatiza, em particular, que a maioria dos testes de penetração vale a pena descobrir.Grupo de lacunas em sistemas individuais ou múltiplos— maior acesso do que qualquer lacuna única.

Uma frase:O VA é um check-up médico, o PT é um exercício pessoal.Não sei. Ambos os tipos de contratos são frequentemente embalados na cena da conformidade, mas deve ser claro no momento da recepção e inspeção: a validação foi realmente utilizada? Ou o Nessus entregou os formulários de exportação?

II. METODOLOGIA NIST IV

NIST SP 800-115 Quatro Fases do Teste de Infiltração: Plano, Descoberta, Ataque, Relato

SP 800-115 A secção 5.2.1 divide os testes de infiltração em quatro fases (Figura 5-1):

Regime de planeamentoRegras de identificação, aprovação da gestão e escrita, definição de objectivos de ensaio. NIST especifica:Nenhum teste real nesta fase.Mas é a base de todo o teste.
Discovery encontrado: Recolha de informações e análise de lacunas. Identificação de porta e serviço, consulta DNS/WHOIS, Banner grab, enumerador NetBIOS (apenas testes internos); em seguida, compare o que foi limpo com a lacuna. É apenas lento para um homem apanhar uma nova falha do scanner.
Ataque de ataque: O núcleo do teste. As potenciais lacunas identificadas estão a ser utilizadas caso a caso; o sucesso está a ser verificado com uma resposta clara às medidas de atenuação; quando o poder está a ser utilizado, o nível real de risco da rede continua a ser analisado; e uma lacuna específica não se move. Entre o ataque e a descoberta,Anel de Feedback— uma vez que a nova base tenha sido fixada, será recolhido, retestado, múltiplos ensaios de rolamento do sistema.
Relatório de relatório: Não o último, mas o último.Sincronizar com as outras três fasesO registo da fronteira.

NIST também lembra que esta é apenas uma “divisão aceitável”, mas os processos principais da indústria (incluindo os padrões OWASP WSTG e PTS) podem ser combinados com este esqueleto: o Guia de Teste de Segurança Web da OWASP é um teste de aplicação Web do manual público de fato, e PTES escreveu o padrão de seis partes da comunidade para pré-interação / coleção de inteligência/ameaça modelagem / uso / pós-uso / relatório.

III. Overt or Covert: Prefixing the rules of the game

NIST divide os testes de segurança em duas categorias de acordo com o nível de conhecimento:Ensaio overtRealizado com o conhecimento e o consentimento da equipe de TI, com o objetivo de encontrar um buraco tão completo quanto possível;Teste de confronto encoberto (chapéu preto)A defesa não é notificada, e a verdadeira organização de confronto é examinada para os danos que pode causar, e a resposta é testada. Os dois objetivos são completamente diferentes e não usam um relatório de digitalização para reivindicar ambos os efeitos. De qualquer forma,Regras de noivado primeiro.: âmbito, período, ações proibidas (por exemplo, DOS, apagar dados de produção), condições de cessação, contato de emergência, tudo escrito - NIST Apêndice B diretamente ao modelo ROE. Testes de infiltração naturalmente envolvem sistemas reais e dados reais, sem "testes de infiltração" de ROE que equivalem a um homicídio não licenciado.

VAPT: Regras de engajamento, seleção de cena, combinação de risco, relatório de desembarque

IV. TRÊS MEIOS A E B

A-A-A-R.1) são necessários relatórios para distinguir entre “descoberta de varredura” e “uso validado”, que é o único digno de conclusões de alto risco; 2) foco em caminhos de combinação e pontos de pouso finais (controle de domínio? Banco de dados?) em vez de pontuação média CVSS; 3) verifique o escopo do teste com ROE para cobrir ativos na nuvem e API.

Posição profissional B(1) A etapa Plano não faz nada sem obter aprovação por escrito, NIST escreve esta frase na seção I da metodologia; (2) o relatório é sincronizado, com os passos de corte, linha de tempo e recuperação sendo mantidos no local, e o registro subsequente é um desastre de massa; e (3) as três principais categorias nomeadas pela CVE-NIST são apenas a má configuração (especialmente valores padrão inseguros), defeitos nucleares internos, derrames zona tampão, e a maioria das linhas de defesa em projetos reais são os primeiros.

Fonte: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Seções 2.4.2, 4.3, 5.2.1 e Apêndice B/F; certificado cruzado: página do projeto owasp.org WSTG, Pentest-standard.org. As definições e as afirmações no texto são identificadas na seção correspondente do texto original.