Ce anume face VAPT? NIST SP 800-115 Limite pentru evaluarea reducerii decalajelor și testarea penetrării

VAPT (testul Vulnerability Assessment and Implementation, Gap Assessment and Infiltration Test) este aproape cel mai utilizat și ușor de confundat set de abrevieri. Lista de achiziţii conţinea servicii Acest document descrie limitele în lumina uneia dintre cele mai autoritare abordări publice: SP 800-115 al Institutului Național de Standarde și Tehnologie din Statele Unite ale Americii.

Evaluare Gap comparativ cu testul de penetrare: lista VA, încălcare a verificării PT

I. Limite între VA și PT: punctul NIST rupt

Declaraţia originală a NIST este foarte directă:Scanerul de scurgere verifică doar faptul că poate exista o portiță de scăpare, în timp ce faza de atac a testului de penetrare este de fapt utilizată pentru a confirma existența sa.Nu ştiu. Aceasta este diviziunea esenţială a muncii între cele două:

Evaluare Gap (VA): Identificarea lot de gazde, servicii, aplicații, ieșire de Gradul de automatizare și acoperire a fost ridicat, dar raportul a fost raportat greșit și în mare parte nu a răspuns
Încercarea de infiltrare (PT)Simularea unui atacator adevărat, lansarea unui atac real asupra unei ținte selectate. NIST subliniază în special faptul că majoritatea testelor de penetrare merită să se afle.Grup de lacune în sistemele individuale sau multipleAcces mai mare decât orice portiţă.

O propoziţie:VA este un control medical, PT este un exercițiu de persoană reală.Nu ştiu. Ambele tipuri de achiziții publice sunt adesea ambalate în scena de conformitate, dar trebuie să fie clar în momentul primirii și inspecției: a fost utilizată efectiv validarea? Sau Nessus a dat formularele de export?

II. METODOLOGIA NIST IV

NIST SP 800-115 Patru faze de testare de infiltrare: Plan, Discovery, Atac, Raportarea

SP 800-115 Secțiunea 5.2.1 împarte testele de infiltrare în patru etape (figura 5-1):

Schema de planificareNorme de identificare, obţinerea aprobării conducerii şi scrierea, stabilirea obiectivelor de testare. NIST specifică:Nu există teste reale în acest stadiu.Dar este fundamentul întregului test.
Descoperire găsită: Colectarea informațiilor și analiza decalajelor. Identificarea portului și a serviciului, interogarea DNS/WHOIS, capturarea Banner, numărătorul NetBIOS (numai testarea internă); apoi compară ceea ce a fost curățat la portiță. Este doar lent pentru un om pentru a prinde o nouă eroare de la scaner.
Atac de atac: Miezul testului. Posibilele lacune care au fost identificate sunt utilizate de la caz la caz; succesul este verificat cu un răspuns clar la măsurile de atenuare; în momentul utilizării energiei electrice, nivelul real de risc al rețelei continuă să fie analizat; și o anumită portiță nu se mișcă. Între atac şi descoperire,Inel de feedbackOdată ce noul punct de sprijin a fost securizat, acesta va fi colectat, retestat, multiple teste de rulare a sistemului.
Raport de raportareNu ultimul, ci ultimul.Sincronizează cu celelalte trei fazeDosarul de la frontieră.

De asemenea, NIST reaminteşte că aceasta este doar o divizie de siguranţă Web OWASP, dar procesele principale ale industriei (inclusiv standardele OWASP WSTG şi PTS) pot fi corelate cu acest schelet: Ghidul de testare a siguranţei Web OWASP este un test de aplicare Web al manualului public de facto, iar PTES a elaborat standardul comunitar de şase părţi pentru pre-interacţiune/colecţia de informaţii/modelarea/utilizarea/după-utilizare/agregare.

III. Overt sau Covert: Prefixarea regulilor jocului

NIST împarte testele de siguranță în două categorii în funcție de nivelul de cunoștințe:Test deschisCondus cu cunoștințele și consimțământul echipei IT, cu scopul de a găsi o gaură cât mai completă posibil;Test de confruntare sub acoperire (pălărie neagră)Apărarea nu este notificată, iar adevărata organizație confruntare este examinată pentru daunele pe care le poate provoca, iar răspunsul este testat. Cele două obiective sunt complet diferite și nu folosesc un raport de scanare pentru a pretinde ambele efecte. În orice caz,Regulile de angajament mai întâi.: domeniu de aplicare, perioadă de timp, acțiuni interzise (de exemplu, DoS, șterge datele de producție), condiții de încetare, contact de urgență, toate scrise - NIST apendicele B direct la modelul ROE. Testele de infiltrare implică în mod natural sisteme reale și date reale, fără teste de infiltrare ROE în valoare de o crimă fără licență.

VAPT: Reguli de angajare, selectie scena, combinatie de risc, raport de aterizare

IV. Trei bucurii pentru A și B

A-A-A-A-R.1) rapoartele sunt necesare pentru a distinge între descoperirea Baza de date?) în loc de scorul mediu CVSS; 3) verificați domeniul de aplicare al testului cu ROE pentru a acoperi activele cloud și API.

Poziția profesională B(1) Etapa Planului nu face nimic fără a obţine aprobarea scrisă, NIST scrie această propoziţie în secţiunea I a metodologiei; (2) raportul este sincronizat, cu termenul limită, termenul limită şi paşii de recuperare fiind menţinuţi la faţa locului, iar înregistrarea ulterioară este un dezastru de masă; şi (3) cele trei categorii principale numite de CVE-NIST sunt doar configuraţii greşite (în special valori implicite nesigure), defecte nucleare interne, scurgeri de zone tampon şi majoritatea liniilor de apărare din proiectele reale sunt primele.

Sursa: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Secțiunile 2.4.2, 4.3, 5.2.1 și apendicele B/F; certificat incident: owasp.org Pagina proiectului WSTG, Pentest-standard.org. Definițiile și afirmațiile din text sunt identificate în secțiunea corespunzătoare din textul original.