Что именно делает VAPT? NIST SP 800-115 Граница для оценки сокращения разрыва и тестирования на проникновение

VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test) является наиболее часто используемым и легко путаным набором сокращений. Список покупок содержал «услуги VAPT один раз» и мог быть доставлен либо кучей отчетов о сканировании, либо реальной перезагрузкой маршрутов вторжения — разницей между ценами и стоимостью. Описаны границы в свете одного из наиболее авторитетных общественных подходов: СП 800-115 Национального института стандартов и технологий США.

Оценка разрыва по сравнению с тестом на проникновение: список VA, нарушение проверки PT

Граница между ВА и ПТ: точка NIST сломана

Оригинал заявления NIST очень прям:Сканер утечек проверяет, что может быть лазейка, в то время как фаза атаки на проникновение фактически используется для подтверждения ее существования.Я не знаю. Это существенное разделение труда между двумя:

Оценка разрыва (VA)Идентификация пакетов хостов, служб, приложений, вывод «сколько дыр, насколько серьезные» списки сравниваются с лазейкой (например, NVD). Степень автоматизации и охвата была высокой, но отчет был неверно сообщен и в значительной степени не ответил, «как далеко могут зайти эти дыры в сочетании».
Инфильтрационный тест (PT)Моделирование реального злоумышленника, запуск реальной атаки на выбранную цель. NIST подчеркивает, что большинство тестов на проникновение стоит выяснить.Группа пробелов в отдельных или нескольких системах- больший доступ, чем любая одна лазейка.

Одно предложение:VA - это медицинский осмотр, PT - это упражнение для реального человека.Я не знаю. Оба вида закупок часто упаковываются на стадии соблюдения, но на момент получения и проверки должно быть ясно: действительно ли использовалась проверка? Или Несс просто передал экспортные формы?

II. НИСТ IV МЕТОДОЛОГИЯ

NIST SP 800-115 Четыре фазы инфильтрационного теста: план, обнаружение, атака, отчетность

СП 800-115 Раздел 5.2.1 подразделяет инфильтрационные испытания на четыре этапа (рисунок 5-1):

Схема планированияПравила идентификации, получения одобрения руководства и записи, постановки тестовых целей. NIST уточняет:Никаких реальных тестов на данном этапе.Но это основа всего теста.
Открытие найденоСбор информации и анализ пробелов. Идентификация портов и сервисов, запрос DNS/WHOIS, захват баннеров, NetBIOS (только внутреннее тестирование); затем сравните то, что было очищено, с лазейкой. Человеку достаточно медленно уловить новый сбой от сканера.
НападениеЯдро теста. Выявленные потенциальные пробелы используются в каждом конкретном случае; успех проверяется четким ответом на меры по смягчению последствий; при использовании электроэнергии продолжается анализ реального уровня риска сети; и конкретная лазейка не движется. Между атакой и открытием,Обратное кольцоПосле того, как новый плацдарм будет защищен, он будет собран, перепроверен, несколько системных испытаний прокатки.
ДокладНе последний, а последний.Синхронизация с тремя другими фазамиПограничный контроль.

NIST также напоминает, что это только «приемлемое подразделение», но основные отраслевые процессы (включая стандарты OWASP WSTG и PTS) могут быть сопоставлены с этим скелетом: Руководство по тестированию веб-безопасности OWASP является тестом веб-приложений фактического публичного руководства, и PTES разработала стандарт сообщества из шести частей для предварительного взаимодействия / сбора данных / моделирования угроз / использования / после использования / отчетности.

III. Оверт или Коверт: Префиксация правил игры

NIST делит тесты на безопасность на две категории в зависимости от уровня знаний:Открытый тестПроводится с ведома и согласия ИТ-команды, с целью найти как можно более полное отверстие;Тест на конфронтацию (черная шляпа)Оборона не уведомляется, а реальная конфронтационная организация проверяется на ущерб, который она может причинить, и проверяется ответ. Эти две цели совершенно разные и не используют сканирующий отчет, чтобы утверждать оба эффекта. В любом случае,Правила участия в первую очередь.: объем, период времени, запрещенные действия (например, DoS, удаление производственных данных), условия прекращения, экстренный контакт, все написано - NIST Приложение B непосредственно к шаблону ROE. Инфильтрационные тесты, естественно, включают в себя реальные системы и реальные данные, без «инфильтрационных тестов» ROE.

VAPT: Правила помолвки, выбор сцены, сочетание риска, отчет о посадке

IV. Три радости для А и В

А-А-А-Р.1) доклады необходимы для проведения различия между "обнаружением сканирования" и "проверенным использованием", которое является единственным, достойным выводов с высокой степенью риска; 2) сосредоточение внимания на комбинированных путях и конечных точках посадки (контроль над доменом). База данных?) вместо среднего балла CVSS; 3) проверить объем теста с помощью ROE для охвата облачных активов и API.

Профессиональная позиция B(1) Этап Плана ничего не делает без получения письменного одобрения, NIST пишет это предложение в разделе I методологии; (2) отчет синхронизирован, с отсечением, временной линией и шагами восстановления, которые хранятся на месте, и последующая запись является массовой катастрофой; и (3) три основные категории, названные CVE-NIST, являются только неправильной конфигурацией (особенно небезопасные значения по умолчанию), внутренние ядерные дефекты, разливы буферной зоны и большинство линий обороны в фактических проектах являются первыми.

Источник: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Sections 2.4.2, 4.3, 5.2.1 and Appendix B/F; cross-certificate: owasp.org WSTG project page, Pentest-standard.org. Определения и утверждения в тексте выделены в соответствующем разделе оригинального текста.