Vad gör VAPT egentligen? NIST SP 800-115 Gräns för granskning och penetrationstestning

VAPT (Vulnerability Assessment and Implementation Test, Gap Assessment and Infiltration Test) är nästan den mest använda och lätt förvirrade uppsättning förkortningar. Köplistan innehöll "VAPT-tjänster en gång" och kunde ha levererats antingen av en massa skanningsrapporter eller av en riktig återställning av intrångsrutter - skillnaden mellan priserna och värdet. Detta papper beskriver gränser mot bakgrund av ett av de mest auktoritativa offentliga tillvägagångssätten: SP 800-115 av National Institute of Standards and Technology i USA.

Gap bedömning kontra penetration test: VA lista, PT verifiering överträdelse

I. Gräns mellan VA och PT: NIST Point Broken

NIST:s ursprungliga uttalande är mycket direkt:Läckskannern kontrollerar bara att det kan finnas ett kryphål, medan penetrationstestattackfasen faktiskt används för att bekräfta dess existens.Jag vet inte. Detta är den väsentliga arbetsdelningen mellan de två:

Gap Assessment (VA)Batch identifiering av värdar, tjänster, applikationer, produktion av "hur många hål, hur allvarliga" listor jämförs med ett kryphål (t.ex. NVD). Graden av automatisering och täckning var hög, men rapporten var felaktig och till stor del svarade inte "hur långt dessa hål kan gå i kombination".
Infiltrationstest (PT)Simulering av en riktig angripare, starta en riktig attack på ett valt mål. NIST betonar särskilt att de flesta penetrationstest är värda att ta reda på.Grupp av luckor i enskilda eller flera systemstörre tillgång än något enda kryphål.

En mening:VA är en medicinsk kontroll, PT är en riktig person träning.Jag vet inte. Båda typerna av upphandling är ofta förpackade i efterlevnadsscenen, men det måste vara klart vid tidpunkten för mottagandet och inspektionen: har valideringen faktiskt använts? Eller överlämnade Nessus bara exportformerna?

NIST IV Metodologi

NIST SP 800-115 Fyra Faser av infiltrationstest: Plan, Discovery, Attack, Reporting

SP 800-115 Avsnitt 5.2.1 delar infiltrationstest i fyra steg (figur 5-1):

Planering SchemeIdentifieringsregler, erhålla förvaltningsgodkännande och skriva ner, fastställa testmål. NIST specificerar:Inga faktiska tester i detta skede.Men det är grunden för hela testet.
Discovery hittadeInformationsinsamling och gapanalys. Port- och serviceidentifiering, DNS/WHOIS-fråga, Banner grab, NetBIOS-anumerator (endast intern testning); jämför sedan vad som har rensats till kryphålet. Det är bara långsamt för en man att fånga en ny glitch från skannern.
Attack attackkärnan i testet. De potentiella luckor som har identifierats används från fall till fall; framgång verifieras med ett tydligt svar på begränsningsåtgärder; när kraften används, fortsätter nätverkets verkliga risknivå att analyseras; och ett visst kryphål rör sig inte. mellan attacken och upptäckten,Feedback RingNär det nya fotfästet har säkrats kommer det att samlas in, testas, flera systemrullningstester.
RapporteringsrapportInte den sista, men den sista.Synkronisera med de andra tre fasernaGränskontrollrekordet.

NIST påminner också om att detta bara är en "acceptabel division", men industriella mainstream-processer (inklusive OWASP WSTG och PTS-standarder) kan matchas med detta skelett: OWASP Web Safety Test Guide är ett webbapplikationstest av den de facto offentliga handboken, och PTES har skrivit upp den sexdelade gemenskapsstandarden för pre-interaktion / intelligence-samling / hotmodellering / användning / efter-användning / rapportering.

III. Overt or Covert: Prefixing spelets regler

NIST delar säkerhetstester i två kategorier enligt kunskapsnivå:Overt testGenomförd med IT-teamets kunskap och samtycke, i syfte att hitta ett så fullständigt hål som möjligt;Covert (svart hatt) konfrontationstestFörsvaret meddelas inte, och den verkliga konfrontationsorganisationen undersöks för den skada den kan orsaka, och svaret testas. De två målen är helt olika och använder inte en skanningsrapport för att hävda båda effekterna. I alla fall,Regler för engagemang först.Omfattning, tidsperiod, förbjudna åtgärder (t.ex. DoS, radera produktionsdata), upphörandeförhållanden, nödkontakt, alla skriftliga - NIST Appendix B direkt till ROE-mallen. Infiltrationstester involverar naturligt verkliga system och verkliga data, utan ROE "infiltrationstester" som uppgår till ett olicensierat mord.

VAPT: Regler för engagemang, scenval, kombination av risk, landningsrapport

IV. Tre avrättningar till en och B

A-A-A-R.1) Rapporter krävs för att skilja mellan ”scan discovery” och ”validated use”, vilket är den enda som är värdig högrisk slutsatser; 2) fokuserar på kombinationsvägar och slutliga landningspunkter (domänkontroll? Databas?) I stället för CVSS-genomsnittspoäng; 3) kontrollera omfattningen av testet med ROE för att täcka molntillgångar och API.

Professionell position B(1) Planstadiet gör ingenting utan att erhålla skriftligt godkännande, NIST skriver denna mening i avsnitt I i metoden; (2) rapporten synkroniseras, med cut-off, time-line och återhämtningssteg hålls på plats, och den efterföljande inspelningen är en masskatastrof; och (3) de tre huvudkategorierna som heter CVE-NIST är bara felkonfiguration (särskilt osäkra standardvärden), interna kärnvapendefekt, bufferzonspiller och de flesta av försvarslinjerna i verkliga projekt är de första.

Källa: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF-avsnitt 2.4.2, 4.3, 5.2.1 och Appendix B/F; cross-certificate: owasp.org WSTG projektsida, Pentest-standard.org. Definitioner och påståenden i texten identifieras i motsvarande avsnitt i den ursprungliga texten.