VAPT tam olarak ne yapar? NIST SP 800-115 boşluk azaltma değerlendirme ve penetrasyon testleri için Sınırdışı

VAPT (Vulnerability Assessment and Implementation Test, Gap Değerlendirme ve İnfil Test) neredeyse en çok kullanılan ve kolayca kısaltma setidir. Satın alma listesi “VAPT hizmetleri bir kez” içeriyordu ve bir dizi tarama raporu ya da gerçek bir saldırı rotaları tarafından teslim edilebilir - fiyatlar ve değer arasındaki fark. Bu kağıt, Amerika Birleşik Devletleri'nin Ulusal Standartlar ve Teknolojisi Enstitüsü'nün en yetkili halk yaklaşımlarından birinin ışığında sınırları açıklar.

penetrasyon testine karşı boşluk değerlendirmesi: VA listesi, PT doğrulama ihlali

VA ve PT arasında kesin: NIST Point Broken

NIST'in orijinal ifadesi çok doğrudan:sızıntı tarayıcı sadece bir boşluk olabileceğini kontrol eder, penetrasyon testi saldırı aşaması aslında varlığını doğrulamak için kullanılır.Bilmiyorum. Bu, iki arasındaki emeğin temel bölümüdür:

Gap Değerlendirme (VA): Ev sahibi, hizmetlerin, uygulamalarının Batch tanımı, “çok fazla delik, ne kadar ciddi” listelerinin bir döngü dele kıyaslanması (örneğin NVD). Otomasyon ve kapsama derecesi yüksekti, ancak rapor hatalıydı ve büyük ölçüde “bu delikler kombinasyonda ne kadar uzağa gidebilir” diye cevap vermedi.
Infil test (PT): Gerçek bir saldırganın simülasyonu, seçilmiş bir hedefe gerçek bir saldırı başlat. NIST özellikle, çoğu penetrasyon testinin bulmaya değer olduğunu vurguluyor.Bireysel veya birden fazla sistemlerde boşluk grubu- Herhangi bir tek döngü deliğinden daha büyük erişim.

Bir cümle:VA tıbbi bir çekdir, PT gerçek kişilik bir egzersizdir.Bilmiyorum. Her iki tedarik türü de genellikle uyumluluk sahnesinde paketlenir, ancak makbuz ve denetim zamanında açık olmalıdır: Geçerlilik aslında kullanılmış mı? Ya da Nessus sadece ihracat formlarını ele geçirdi mi?

II. NIST IV METHODOLOGY

NIST SP 800-115 Infil Testin Dört Aşaması: Plan, Discovery, Attack, Raporlama

SP 800-115 Bölüm 5.2.1, filtrasyon testlerini dört aşamaya ayırır (Figure 5-1):

Planlama SchemeTanım kuralları, yönetim onayı elde etmek ve yazmak, test hedeflerini belirlemek. NIST belirtir:Bu aşamada gerçek testler yok.Ama tüm testin temeli.
Keşif bulundu: Bilgi toplama ve boşluk analizi. Port ve hizmet tanımlaması, DNS/WHOIS sorgu, Banner yakalama, NetBIOS enumerator (sadece sadece test); sonra döngü deliği için neyin temizlendiğini karşılaştır. Bir adamın tarayıcıdan yeni bir glitch yakalamak için sadece yavaş.
Saldırı saldırı saldırısı: Testin özü. Tanımlanmış olan potansiyel boşluklar bir vaka temelinde kullanılıyor; başarı, masyon önlemlerine açık bir yanıtla doğrulanıyor; güç kullanılıyorsa, ağdaki gerçek risk seviyesi analiz edilmeye devam ediyor; ve belirli bir döngü deliği hareket etmiyor. Saldırı ve keşif arasında,Feedback Ring- Yeni ayak havuzu güvence altına alındıktan sonra, toplanacak, test edilecek, birden fazla sistem.
Raporlama raporuSon değil, ama son.Diğer üç aşamayla senkronizasyonSınır kontrol kaydı.

NIST aynı zamanda bu iskelete sadece bir "kabul edilebilir bir bölünme" olduğunu hatırlatıyor, ancak endüstri ana süreçleri (OWASP WSTG ve PTS standartları dahil) bu iskelete eşleştirilebilir: OWASP Web Güvenlik Testi Kılavuzu, bir web uygulama testidir ve PTES ön-interaction/intelligence koleksiyonu/streat modellemesi / kullanım / kullanım / kullanım / kullanım sonrası için altı ortak topluluk standartını yazdı.

III. Overt veya Covert: Oyunun kurallarını ekleyin

NIST güvenlik testlerini bilgi seviyesine göre iki kategoriye ayırır:Overt testIT ekibinin bilgisi ve onayı ile birlikte, mümkün olduğunca tam bir delik bulma hedefiyle;Covert (kara şapka) çatışma testiSavunma bilgilendirilmemektedir ve gerçek çatışma organizasyonu neden olabilecek hasar için incelenir ve yanıt test edilir. İki hedef tamamen farklıdır ve her iki etkiyi iddia etmek için bir tarama raporu kullanmayın. Her durumda,İlk önce katılım kuralları.: kapsamı, zaman süresi, yasak eylemleri (örneğin, üretim verilerini silmek), cessation koşulları, acil temas, tüm yazılı - NIST Appendix B doğrudan ROE şablonuna. Infiltrasyon testleri doğal olarak gerçek sistemleri ve gerçek verileri içerir, hiçbir ROE "intrasyon testleri" unlicensed homicide miktarı ile.

VAPT: Katılım kuralları, sahne seçimi, risk kombinasyonu, iniş raporu

IV. THREE ENJOYMENTS TO A AND B

A-A-A-R.1) raporlar "scan keşif" ve "validated use" arasında ayrım yapmak gerekir, bu da yüksek riskli sonuçlara layıktır; 2) kombinasyon yolları ve son iniş noktalarına odaklanır (bölge kontrolü? Veritabanı?) CVSS ortalama puanı yerine; 3) Bulut varlıklarını ve API'yi kapsamak için test kapsamını kontrol edin.

Profesyonel pozisyon B(1) Plan aşaması, yazılı onay almadan hiçbir şey yapmaz, NIST bu cümleyi sadece metodolojinin bölümünde yazar; (2) Rapor senkronize edilir, zaman-line ve gerçek projelerdeki savunma hatlarının çoğu ilkdir.

Kaynak: NIST SP 800-115 (2008-09), csrc.nist.gov/pubs/sp/800/115/final, PDF Bölümler 2.4.2, 4.3, 5.2.1 ve Appendix B/F; çapraz-certificate: owasp.org WSTG projesi sayfası, Pentest-standart.org.org. Metindeki tanımlar ve iddialar, orijinal metnin ilgili bölümünde tanımlanır.