Penetrační test vs. skenování zranitelností: hlavní rozdíly

Zákazníci často slyší pojmy „penetrační test“ a „skenování zranitelností“, jako by znamenaly totéž. Neznamenají. Skenování zranitelností je automatizovaná kontrola, která porovnává systémy s databází známých slabin. Penetrační test je cvičení s vymezeným rozsahem vedené člověkem, při němž tester zkoumá, zda lze slabiny skutečně zneužít proti dohodnutému cíli, a dokumentuje důkazy. Obojí je užitečné. Správná volba závisí na otázce, na kterou potřebujete odpověď, na vyspělosti vašeho prostředí a na tom, kdo bude výsledky číst.

Co to je?

Skenování zranitelností spouští nástroj proti serverům, webům nebo aplikacím a hlásí problémy, které dokáže rozpoznat: chybějící záplaty, zastaralé verze softwaru, vystavené služby, slabé nastavení TLS nebo běžné chyby v konfiguraci. Skeny jsou rychlé a opakovatelné, a proto se hodí pro pravidelnou bezpečnostní hygienu. Jejich omezení jsou dobře známá. Skenery vytvářejí falešně pozitivní nálezy, přehlížejí problémy závislé na obchodní logice a nedokážou říct, zda se nízko hodnocený nález nestane závažným v kombinaci s jiným. Penetrační test vychází z písemného rozsahu a pravidel zapojení. Tester používá nástroje včetně skenerů, ale poté pracuje ručně: ověřuje nálezy, testuje autentizaci a autorizaci, kontroluje oddělení rolí a tenantů a sleduje realistické cesty, které by mohl zkusit útočník. Výstupem je zpráva s důkazy, závažností a doporučeními k nápravě, nikoli surový výpis z nástrojů. Stručně řečeno: sken vám řekne, co může být špatně; penetrační test vám řekne, co je v dohodnutém rozsahu prokazatelně špatně a proč na tom záleží.

Pro koho to je?

Toto srovnání je užitečné pro týmy, které:

Obdržely od zákazníka, partnera nebo pojišťovny požadavek na „bezpečnostní testování“ a potřebují pochopit, co se po nich skutečně žádá
Již pravidelně skenují a chtějí vědět, zda by ruční test přinesl smysluplné poznatky
Spouštějí novou webovou aplikaci, API nebo mobilní aplikaci a musí rozhodnout, jak hluboké má být testování před spuštěním
Potřebují vedení vysvětlit, proč se dvě nabídky na „testování“ tolik liší v rozsahu práce i ve výstupu

Co to pomůže objasnit

Porovnání obou přístupů vedle sebe pomáhá ujasnit:

Zda se vaše otázka týká hygieny známých problémů (sken), nebo zneužitelného rizika v konkrétním systému (penetrační test)
Které nálezy ve stávající zprávě ze skenu jsou pravděpodobně šum a které si zaslouží ruční ověření
Proč obchodní logika, řízení přístupu a vícekrokové útočné cesty leží mimo to, co automatizované nástroje obvykle odhalí
Jaké důkazy bude zainteresovaná strana očekávat v závěrečné zprávě

Co je zahrnuto

Kontrolní seznam pro skenování: definujte seznam aktiv, plánujte skeny pravidelně, určete vlastníka pro třídění výsledků a sledujte nápravu v čase
Kontrolní seznam pro penetrační test: před zahájením prací písemně dohodněte cíle, prostředí, časové okno testu, způsob přístupu, jmenované kontaktní osoby a podmínky pro zastavení
Ověřte písemné oprávnění od vlastníka systému a od každého poskytovatele hostingu či dodavatele, který provozuje systémy v rozsahu
Rozhodněte, zda je potřeba autentizované testování (testovací účty pro každou roli), aby bylo možné prověřit problémy s řízením přístupu
Dohodněte, jak budou nálezy hodnoceny a jak budou důkazy bezpečně sdíleny s jmenovanými kontaktními osobami
Naplánujte okno pro opakovaný test, aby bylo možné po nápravě potvrdit opravené nálezy

Co není součástí

Tvrzení, že samotný sken prokazuje, že je aplikace bezpečná
Tvrzení, že penetrační test najde každou slabinu; zkoumá dohodnutý rozsah v dohodnutém čase
Návody ke zneužití nebo testování systémů, které nevlastníte nebo k jejichž testování nemáte povolení
Certifikace, schválení souladu nebo formální auditorský výrok

Kdy si ji vybrat

Skenování zvolte, když potřebujete pravidelný a široký přehled o mnoha aktivech a máte proces pro třídění a opravu toho, co sken nahlásí. Penetrační test zvolte, když je pro firmu důležitý konkrétní systém, když zákazník nebo partner žádá doklad o ručním testování, před významným spuštěním nebo po větších změnách v autentizaci, platbách či nakládání s daty. Mnoho organizací používá obojí: plánované skeny pro udržení stabilní hygieny a pravidelný penetrační test pro prověření systémů s nejvyšším rizikem. Pokud zatím neumíte vyjmenovat svá aktiva ani jejich vlastníky, může být užitečnějším prvním krokem širší základní revize než kterákoli z obou možností.

Náš přístup

Začněte rozhodnutím, které potřebujete učinit. Pokud dotazník zákazníka požaduje každoroční penetrační test, zpráva ze skenu jej obvykle neuspokojí. Pokud jen potřebujete vědět, zda jsou servery dostupné z internetu aktualizované, může být plný ruční test víc, než potřebujete. Dále potvrďte rozsah: které aplikace, API, prostředí a uživatelské role jsou zahrnuty a které jsou výslovně vyloučeny. Dohodněte časové okno testu a kdo může práci pozastavit. Naše služba Penetration Testing postupuje podle tohoto vzoru: rozsah, písemné oprávnění, testování v rámci dohodnutých pravidel zapojení, písemná zpráva s nálezy a prioritizovanými doporučeními k nápravě, závěrečné projednání a tam, kde je zahrnut, opakovaný test dohodnutých nálezů. Ať už zvolíte kteréhokoli poskytovatele, požádejte před závazkem o ukázkovou zprávu a ověřte, že odděluje ověřené nálezy od informativních postřehů. Nakonec počítejte s časem na nápravu. Test, který přinese nálezy, na jejichž opravu nikdo nemá čas, má malou hodnotu, proto sladěte termín testu s kapacitou vašeho týmu reagovat na výsledky.

Penetration Testing

Zobrazit stránku služby Penetration Testing