Behatolásteszt vs. sebezhetőségi vizsgálat: a fő különbségek

A megrendelők gyakran úgy hallják a „behatolásteszt” és a „sebezhetőségi vizsgálat” kifejezést, mintha ugyanazt jelentenék. Nem ugyanazt jelentik. A sebezhetőségi vizsgálat automatizált ellenőrzés, amely a rendszereket ismert gyengeségek adatbázisával veti össze. A behatolásteszt meghatározott hatókörű, szakember által vezetett gyakorlat, amelyben a tesztelő azt vizsgálja, hogy a gyengeségek ténylegesen kihasználhatók-e egy egyeztetett célpont ellen, és dokumentálja a bizonyítékokat. Mindkettő hasznos. A helyes választás attól függ, milyen kérdésre keres választ, mennyire érett a környezete, és ki fogja olvasni az eredményeket.

Mi ez?

A sebezhetőségi vizsgálat során egy eszköz fut le szervereken, weboldalakon vagy alkalmazásokon, és jelenti az általa felismert problémákat: hiányzó javításokat, elavult szoftververziókat, kitett szolgáltatásokat, gyenge TLS-beállításokat vagy gyakori konfigurációs hibákat. A vizsgálatok gyorsak és megismételhetők, ezért jól illenek a rendszeres biztonsági higiéniához. Korlátaik jól ismertek. A szkennerek téves riasztásokat adnak, nem veszik észre az üzleti logikától függő problémákat, és nem tudják megmondani, hogy egy alacsony besorolású megállapítás egy másikkal kombinálva súlyossá válik-e. A behatolásteszt írásban rögzített hatókörből és tesztelési szabályokból (rules of engagement) indul. A tesztelő eszközöket – köztük szkennereket – is használ, de ezután kézzel dolgozik: validálja a megállapításokat, teszteli a hitelesítést és a jogosultságkezelést, ellenőrzi a szerepkörök és a bérlők elkülönítését, és végigköveti azokat a reális útvonalakat, amelyekkel egy támadó próbálkozhat. Az eredmény egy bizonyítékokat, súlyossági besorolást és javítási útmutatást tartalmazó jelentés, nem pedig az eszközkimenet nyers listája. Röviden: a vizsgálat azt mutatja meg, mi lehet hibás; a behatolásteszt azt, hogy az egyeztetett hatókörön belül mi bizonyíthatóan hibás, és miért fontos ez.

Kinek szól?

Ez az összehasonlítás azoknak a csapatoknak hasznos, amelyek:

„biztonsági tesztelésre” vonatkozó kérést kaptak egy ügyféltől, partnertől vagy biztosítótól, és meg kell érteniük, mit kérnek tőlük valójában
már rendszeresen futtatnak vizsgálatokat, és tudni szeretnék, hogy egy kézi teszt adna-e érdemi többletinformációt
új webalkalmazást, API-t vagy mobilalkalmazást vezetnek be, és el kell dönteniük, milyen mélységű legyen a bevezetés előtti tesztelés
el kell magyarázniuk a vezetésnek, miért tér el ennyire két „tesztelési” ajánlat ráfordításban és eredményben

Mit segít tisztázni

A kettő egymás melletti áttekintése segít tisztázni:

hogy kérdése az ismert problémák kezelésére (vizsgálat) vagy egy adott rendszer kihasználható kockázatára (behatolásteszt) vonatkozik-e
egy meglévő vizsgálati jelentés mely megállapításai valószínűleg zajok, és melyek érdemelnek kézi validálást
hogyan esnek kívül az üzleti logika, a hozzáférés-szabályozás és a többlépéses támadási útvonalak azon, amit az automatizált eszközök általában észlelnek
milyen bizonyítékokat vár majd egy érintett fél a végső jelentésben

Mi van benne?

Vizsgálati ellenőrzőlista: határozza meg az eszközlistát, ütemezzen rendszeres vizsgálatokat, jelöljön ki felelőst az eredmények osztályozására, és kövesse nyomon a javítást
Behatolásteszt-ellenőrzőlista: a munka megkezdése előtt írásban egyeztesse a célpontokat, a környezeteket, a tesztelési időablakot, a hozzáférés módját, a kijelölt kapcsolattartókat és a leállítási feltételeket
Erősítse meg az írásos felhatalmazást a rendszer tulajdonosától, valamint minden olyan tárhelyszolgáltatótól vagy beszállítótól, amely hatókörbe tartozó rendszert üzemeltet
Döntse el, szükség van-e hitelesített tesztelésre (szerepkörönként tesztfiókokkal), hogy a hozzáférés-szabályozási problémák is vizsgálhatók legyenek
Egyeztesse, hogyan sorolják be a megállapításokat, és hogyan osztják meg biztonságosan a bizonyítékokat a kijelölt kapcsolattartókkal
Tervezzen be újratesztelési időablakot, hogy a kijavított megállapítások a javítás után megerősíthetők legyenek

Mi nincs benne

Annak állítása, hogy egy vizsgálat önmagában igazolja egy alkalmazás biztonságát
Annak állítása, hogy egy behatolásteszt minden gyengeséget megtalál; a teszt egy egyeztetett hatókört vizsgál egyeztetett időn belül
Kihasználási útmutató, illetve olyan rendszerek tesztelése, amelyek nem az Ön tulajdonában vannak, vagy amelyek tesztelésére nincs engedélye
Tanúsítás, megfelelőségi jóváhagyás vagy hivatalos auditori vélemény

Mikor válasszuk ki?

Válassza a vizsgálatot, ha rendszeres, széles körű rálátásra van szüksége sok eszközre, és van folyamata a jelentett problémák osztályozására és javítására. Válassza a behatolástesztet, ha egy adott rendszer fontos az üzlet számára, ha egy ügyfél vagy partner kézi tesztelés bizonyítékát kéri, egy jelentős bevezetés előtt, vagy a hitelesítést, a fizetést vagy az adatkezelést érintő nagyobb változtatások után. Sok szervezet mindkettőt alkalmazza: ütemezett vizsgálatokkal tartja egyenletesen a higiéniát, és időszakos behatolásteszttel vizsgálja a legnagyobb kockázatot hordozó rendszereket. Ha eszközeit vagy azok felelőseit még nem tudja felsorolni, egy szélesebb alapfelmérés hasznosabb első lépés lehet bármelyiknél.

A mi megközelítésünk

Induljon ki abból a döntésből, amelyet meg kell hoznia. Ha egy ügyfélkérdőív éves behatolástesztet kér, egy vizsgálati jelentés általában nem lesz elegendő. Ha csupán azt kell tudnia, hogy az internetről elérhető szerverek javítva vannak-e, egy teljes kézi teszt több lehet a szükségesnél. Ezután erősítse meg a hatókört: mely alkalmazások, API-k, környezetek és felhasználói szerepkörök tartoznak bele, és melyek vannak kifejezetten kizárva. Egyeztesse a tesztelési időablakot, és azt, hogy ki szakíthatja meg a munkát. A Penetration Testing szolgáltatásunk ezt a mintát követi: hatókör, írásos felhatalmazás, tesztelés az egyeztetett szabályok szerint, írásos jelentés a megállapításokról priorizált javítási útmutatással, megbeszélés, valamint – ha a megbízás tartalmazza – az egyeztetett megállapítások újratesztelése. Bármelyik szolgáltatót választja, kérjen mintajelentést, mielőtt elköteleződik, és ellenőrizze, hogy az elkülöníti-e a validált megállapításokat a tájékoztató jellegű észrevételektől. Végül tervezzen időt a javításra. Az a teszt, amelynek megállapításait senkinek sincs ideje kijavítani, kevés értéket ad, ezért a teszt időpontját igazítsa csapata kapacitásához.

Penetration Testing

A Penetration Testing szolgáltatás oldalának megtekintése