VAPT ทําอะไร? NIS SS 800-115 ขอบเขตสําหรับการประเมินช่องว่างและการทดสอบการเจาะ

VAPT (การดูดซับที่มีประสิทธิภาพ และการทดสอบการดูดซึม, การดูดซึม และการทดสอบการแทรกซึม) เกือบมากที่สุด และสับสนง่าย ๆ รายการซื้อที่มี “บริการ VAPT ครั้งเดียว" และอาจจะส่งได้ทั้งโดยกองรายงานการสแกนหรือโดยการตั้งค่าจริงของเส้นทางการบุกรุก - ความแตกต่างระหว่างราคากับราคา หนังสือ พิมพ์ ฉบับ นี้ พรรณนา ขอบ เขต ใน แสง สว่าง แห่ง วิธี การ ของ สาธารณชน ที่ ได้ รับ การ ยอม รับ อย่าง เป็น ทาง การ ที่ สุด อย่าง หนึ่ง: PS 800-115 ของ สถาบัน มาตรฐาน และ เทคโนโลยี แห่ง สหรัฐ.

การประเมินค่าช่องว่างกับการทดสอบการแทรก: รายการ VA, การละเมิดของ PTCR

I. มีความสัมพันธ์ระหว่าง VA กับ PT: NIS Point cription

ประโยคต้นฉบับของ NIS ตรงไปตรงมามาก:เครื่องแสกนที่รั่วตรวจสอบเท่านั้น ว่าอาจมีช่องโหว่ ในขณะที่การทดสอบการเจาะเข้าไปฉันไม่รู้ นี่คือส่วนสําคัญของแรงงานระหว่างทั้งสอง

การรองรับช่องว่าง (VA)– การระบุตัวตนของโฮสต์, บริการ, โปรแกรม, การแสดงผลของ "จํานวนหลุม, รายการที่ร้ายแรง" ถูกเปรียบเทียบกับช่องโหว่ (เช่น NVD). ระดับการอัตโนมัติและการรายงานข่าวนั้นสูงมาก แต่รายงานนี้ถูกพิมพ์ผิด และส่วนใหญ่ไม่ได้ตอบ “รูเหล่านี้สามารถขยายออกไปได้ไกลแค่ไหน
การทดสอบการแทรกซึม (PDT)จําลองการจู่โจมตัวจริง จู่โจมเป้าหมายที่ถูกเลือก โดย เฉพาะ อย่าง ยิ่ง หนังสือ พิมพ์ นั้น เน้น ว่า การ ตรวจ สอบ ส่วน ใหญ่ คุ้ม ค่า กับ การ ตรวจ สอบ.กลุ่มช่องว่างในแต่ละระบบหรือหลายระบบเข้าถึงได้มากกว่าช่องโหว่ใดๆ

ประโยคเดียว:VA (VA) เป็นผลการตรวจทางการแพทย์ PT เป็นการฝึกตามความเป็นจริงฉันไม่รู้ การ หา ของ ทั้ง สอง ประเภท มัก จะ ถูก นํา มา บรรจุ ไว้ ใน ที่ ที่ มี การ ทํา ตาม แต่ ต้อง ทํา ให้ ชัดเจน ใน ตอน ที่ มี การ เรียก เก็บ และ ตรวจ สอบ: มี การ ใช้ การ ได้ จริง ๆ ไหม? หรือ เนสซัส เพิ่งส่งมอบแบบฟอร์มส่งออก

II. STII III METHOD วิทยา.

NIS PER 800-115 สี่ขั้นตอนของการทดสอบการแทรกซึม: แผน, ดิสคัเฟอรีโจมตีรายงาน

PER 800-115 มาตรา 5.2.1 แบ่งในการทดสอบกรองเป็น 4 ระยะ (Figure 5-1):

วางแผนรูปแบบกฎประจําตัว การได้รับอนุมัติจากผู้จัดการ และการเขียนลง ตั้งเป้าหมายทดสอบ NIS ระบุ:ไม่มีการทดสอบที่แท้จริงบนเวทีนี้แต่มันคือรากฐานของการทดสอบทั้งหมด
ค้นพบการรวบรวมข้อมูลและการวิเคราะห์ช่องว่าง พอร์ตและระบุบริการ, DNS/WHOIS. สืบค้น, แบนเนอร์จับ, NetBIOS enumerator (innal tester al tester); จากนั้นเปรียบเทียบสิ่งที่ได้รับการทําความสะอาดกับช่องโหว่ มันช้าสําหรับผู้ชาย ที่จะจับข้อผิดพลาดใหม่จากสแกนเนอร์
โจมตีแกนหลักของการทดสอบ ช่องว่างที่อาจถูกระบุได้ ถูกนําไปใช้บนพื้นฐานกรณีต่อ ๆ ไป ความสําเร็จจะถูกตรวจสอบอย่างชัดเจน ระหว่างการโจมตีและการค้นพบวงแหวนย้อนกลับ-เมื่อหลักทรัพย์ใหม่ได้รับการรักษาความปลอดภัย มันจะเก็บรวบรวม ทําการทดสอบหลายระบบ
รายงานไม่ใช่คนสุดท้าย แต่เป็นคนสุดท้ายประสาน กับ สาม ขั้น ตอนประวัติการตรวจชายแดน

NIS ยังเตือนว่านี้เป็นเพียง "การแบ่งที่ยอมรับได้" แต่กระบวนการกระแสหลักอุตสาหกรรม (รวมมาตรฐาน OWAPS WSTS และ PTS) สามารถเทียบได้กับโครงกระดูกนี้: คู่มือ OWAS WebS Secure Securation is application of the Deacto Public Model, และ PTES ได้เขียนมาตรฐาน 6 ส่วนของชุมชน สําหรับการเก็บ/inTIFTIF/TIITS example/Terling/use-usering exampioning.

3 overt หรือ covert: อยู่เหนือกฏเกม

NIS แบ่งการทดสอบความปลอดภัยออกเป็นสองประเภท ตามระดับความรู้:ทดสอบการวนรอบดําเนินการด้วยความรู้และความยินยอมของทีมไอที ด้วยวัตถุประสงค์ที่จะหาเต็มหลุมที่เป็นไปได้;ปก (หมวกดํา) ทดสอบการเผชิญหน้าไม่ มี การ แจ้ง ให้ ทราบ เรื่อง การ ป้องกัน และ มี การ ตรวจ สอบ องค์การ ที่ เผชิญ หน้า กัน จริง ๆ ว่า อาจ ก่อ ความ เสีย หาย อะไร บ้าง และ การ ตอบ รับ ก็ ถูก ทดสอบ. ทั้ง สอง จุด นี้ ต่าง กัน อย่าง สิ้น เชิง และ ไม่ ใช้ รายงาน ตรวจ สอบ เพื่อ อ้าง ถึง ผล กระทบ ทั้ง สอง อย่าง. อย่างไรก็ตามกฎของการหมั้นก่อน(เช่น DOS, ลบข้อมูลการผลิต), แก้ไขเงื่อนไข การติดต่อแบบฉุกเฉิน, ทั้งหมดถูกเขียนขึ้น - NISIST logion B โดยตรงไปยังแม่แบบ ROE. การแทรกซึมในการทดสอบตามธรรมชาติ เกี่ยวข้องกับระบบที่แท้จริงและข้อมูลที่แท้จริง ไม่มี ROE "การแทรกซึมในการทดสอบ" รวมกันเป็นการฆาตกรรมที่ยังไม่มีการแก้ไข

VAPT: กฎของการหมั้น, การคัดเลือกฉาก รวมของความเสี่ยง รายงานการลงจอด

IV. 3 NEJYATA A และ B.

เอ เอ เอ เอ อาร์1) การรายงานจําเป็นในการแยกแยะระหว่าง "การค้นพบ" และ "การใช้งานที่ประสบความสําเร็จ" ซึ่งเป็นเพียงหนึ่งเดียวที่คุ้มค่าของข้อสรุปที่มีความเสี่ยงสูง; 2) เพ่งเน้นเส้นทางที่ผสมกัน และจุดลงจอดสุดท้าย (ควบคุมการลงเล่น)? ฐานข้อมูล?) แทนที่จะเป็นคะแนนเฉลี่ยของ CVS (3) เช็คสัดส่วนของการทดสอบกับ ROE เพื่อครอบคลุมสินทรัพย์เมฆและเอพีไอ

ตําแหน่งมืออาชีพ B(1) เวทีวางแผนไม่ทําอะไรโดยไม่ได้รับการอนุมัติในการเขียน NIST เขียนประโยคนี้ในส่วนที่ I ของวิธีการ; (2) รายงานถูกปรับให้ตรงกันด้วยการตัดเวลา และขั้นตอนการฟื้นฟูมีการเก็บบันทึกและบันทึกภายหลังเป็นหายนะขนาดใหญ่; และ (3) สามหมวดหมู่หลักที่มีชื่อใน CIV-NII เป็นเพียงแค่การปรับเปลี่ยน (ค่าปริยายของข้อผิดพลาดเฉพาะ), ข้อบกพร่องภายในของนิวเคลียร์, เขตบัฟเฟอร์, และส่วนใหญ่ของการป้องกันจริงในโครงการแรก

แหล่งที่มา: NISS 800-115 (2008-09), scrc.nist.gov/pubs/800/115 รอบสุดท้าย, PDF มาตรา 2.4.2, 4.3, 4.2.1.1 และภาคผนวก B/F; cross-cortificate: Owas.org โปรเจกต์, Pinter-f.org. คํา นิยาม และ การ ยืน ยัน ใน ข้อ ความ นั้น ระบุ ไว้ ใน ส่วน ที่ ตรง กัน ของ ข้อ ความ เดิม.