Chính xác thì VAPT làm gì? Theo ET 800-115 Kết giới để giảm đánh giá và thâm nhập

VAPT ( kiểm tra khả năng hô hấp và giảm đau, Gap Assessation and Inctrip Test) gần như là một tập hợp khó hiểu nhất của chữ viết tắt. Danh sách mua sắm gồm “các dịch vụ VPT một khi đã được gửi đi bởi một loạt các báo cáo scan hoặc bằng một thiết lập lại đúng lộ trình xâm nhập - sự khác biệt giữa giá cả và giá cả. Bài báo này miêu tả ranh giới dưới ánh sáng của một trong những phương pháp công khai có thẩm quyền nhất: SP 800-115 của Viện Tiêu chuẩn Quốc gia và Công nghệ Hoa Kỳ.

Đánh giá Gap so với kiểm tra thâm nhập: danh sách VA, lỗi xác thực PT

I. Kết nối giữa VA và PT: NST Point bị hỏng

Lời tuyên bố ban đầu của IS là rất trực tiếp:Máy quét rò rỉ chỉ kiểm tra rằng có thể có một lỗ hổng, trong khi giai đoạn thử nghiệm thâm nhập thực sự được sử dụng để xác nhận sự tồn tại của nó.Tôi không biết. Đây là sự phân chia lao động cần thiết giữa hai thứ:

Độ lệch▪ Nhận diện các chủ thể, dịch vụ, ứng dụng, kết quả của “bao nhiêu lỗ, danh sách các hố nghiêm trọng như thế nào so với một lỗ hổng (vD). Mức độ tự động hóa và tin tức rất cao, nhưng báo cáo đã được thông báo sai và phần lớn không trả lời được “những lỗ này có thể đi đến đâu để kết hợp với nhau.
Thử ra xâm nhập (PT): Mô phỏng một kẻ tấn công thật sự, tấn công mục tiêu đã được chọn. NHỮNG lời nhấn mạnh đặc biệt là hầu hết các bài kiểm tra thâm nhập đều đáng để tìm hiểu.Nhóm khoảng cách trong hệ thống cá nhân hay nhiều hệ thống- Dễ tiếp cận hơn bất cứ lỗ hổng nào.

Một câu:VA là một cuộc kiểm tra y tế, PT là một bài tập thực tế.Tôi không biết. Cả hai loại thu nhập thường được đóng gói trong cảnh phục tùng, nhưng phải rõ ràng vào lúc biên nhận và thanh tra: có thật sự sử dụng thẩm quyền không? Hay Nessus vừa giao nộp mẫu xuất khẩu?

{\3cHFF1000}Tôi không biết.

BAR 815-4 giai đoạn thử nghiệm xâm nhập: Kế hoạch, Khám phá, tấn công, báo cáo

SP 800-115 Mục 5.2.1 chia các bài kiểm tra xâm nhập thành bốn giai đoạn.

Phối hợpCác quy tắc nhận dạng, xin phép quản lý và viết xuống, đặt mục tiêu thử nghiệm. Theo chỉ định của IS:Không có xét nghiệm thực sự ở giai đoạn này.Nhưng đó là nền tảng của toàn bộ bài kiểm tra.
Tìm thấy: thu thập thông tin và phân tích khoảng cách. Nhận diện cổng và dịch vụ, truy vấn DNS/ gõ thẻ, lấy băng cờ, bộ kiểm tra cơ quan (chỉ thử nội bộ); rồi so sánh những gì đã được làm sạch với lỗ hổng. Một người đàn ông chỉ chậm phát hiện một trục trặc mới từ máy quét.
Tấn công!: tâm điểm của bài kiểm tra. Khoảng cách tiềm năng đã được xác định đang được sử dụng trên cơ sở trường hợp từng trường hợp; thành công đang được kiểm tra với một phản ứng rõ ràng với các biện pháp giảm nhẹ; khi điện đang được sử dụng, mức độ rủi ro thực sự của mạng lưới tiếp tục được phân tích; và một lỗ hổng đặc biệt không được di chuyển. Giữa cuộc tấn công và khám phá,Vòng đáp trả— Một khi chốt nối mới đã được đảm bảo, nó sẽ được thu thập, kiểm tra lại, nhiều hệ thống chạy thử.
Báo cáoKhông phải cuối cùng, mà là cuối cùng.Đồng bộ hoá với ba giai đoạn khácKiểm tra biên giới.

NES cũng nhắc nhở rằng đây chỉ là một “sự phân chia có thể chấp nhận được, nhưng các tiến trình công nghiệp chính thống (bao gồm các tiêu chuẩn OWAP WSTG và PTS) có thể được so sánh với bộ xương này: Hướng dẫn thử nghiệm mạng OWAP là một thử nghiệm ứng dụng Web của sách hướng dẫn công cộng thực tế, và PWAP đã viết ra tiêu chuẩn 6 phần của cộng đồng trước khi giao tiếp/giải thích/ ngôn ngữ/ ngôn ngữ/conreat mô hình/use/use-use.

III. overt or covert: Tiền tố hoá các luật chơi

ORM chia các bài kiểm tra an toàn thành hai loại theo trình độ kiến thức:CommentĐược điều khiển với kiến thức và sự đồng ý của đội IT, với mục đích tìm kiếm một cái lỗ đầy đủ nhất có thể;CommentPhòng thủ không được thông báo, và tổ chức đối đầu thực sự được kiểm tra về những thiệt hại có thể gây ra, và phản ứng được kiểm tra. Hai mục tiêu hoàn toàn khác nhau và không dùng một báo cáo quét để xác nhận cả hai hiệu quả. Dù sao,Luật đính hôn trước.: Phạm vi, khoảng thời gian, hành động bị cấm (v. d. DoS, xoá dữ liệu sản xuất), điều kiện ngừng sản xuất, liên lạc khẩn cấp, tất cả đều được viết ra - IS Appendix B trực tiếp đến mẫu ROE. Kiểm tra xâm nhập tự nhiên bao gồm hệ thống thực tế và dữ liệu thực tế, không có kiểm tra RE "trong thâm nhập" là một vụ giết người không được công nhận.

VAPT: quy tắc của sự đính hôn, sự lựa chọn cảnh, sự kết hợp của rủi ro, báo cáo hạ cánh

IV. 3 tài liệu về A VÀ B

A-A-A-A-R.1) Báo cáo đòi hỏi phải phân biệt giữa “những khám phá có thể được phát hiện và“ sử dụng một cách cẩn thận, một trong những kết luận có rủi ro cao; 2) tập trung vào những con đường kết hợp và điểm hạ cánh cuối cùng (để kiểm soát? Cơ sở dữ liệu?) Thay vì điểm trung bình của CNSS; 3) hãy kiểm tra phạm vi thử nghiệm với ROE để bao gồm tài sản đám mây và API.

Vị trí chuyên nghiệp B(1) Phương trình không làm bất cứ điều gì mà không được chấp thuận, iST viết câu này trong phần I của phương pháp học; (2) bản báo cáo được đồng bộ hóa, với các giá trị cắt giảm, dòng thời gian, và các bước phục hồi được giữ lại mà không được ghi nhận, và sau đó ghi lại là một thảm họa hàng loạt; và (3) ba loại chính được đặt tên bởi CVE-NIST chỉ là các giá trị đặc biệt không an toàn mặc định, khuyết tật bên trong, vùng đệm, và hầu hết các dòng của các dự án thực tế là đầu tiên.

Nguồn: NST SP 800-115 (2008-09), csrc.nist.gov/pbs/800/115/final, PDF parts 2. 4, 3, 5, 2. 1 và Appendix B/F; everctate: orep.org WSTG, trang Penet- pSTG.org. Các định nghĩa và lời khẳng định trong văn bản được nhận diện trong phần tương ứng của bản gốc.