Kiểm thử xâm nhập và quét lỗ hổng: Khác biệt chính

Đây là gì

Quét lỗ hổng là chạy một công cụ đối với máy chủ, website hoặc ứng dụng và báo cáo các vấn đề mà công cụ nhận diện được: thiếu bản vá, phiên bản phần mềm lỗi thời, dịch vụ bị lộ ra ngoài, cấu hình TLS yếu hoặc các lỗi cấu hình phổ biến. Việc quét diễn ra nhanh và lặp lại được, nên rất phù hợp cho công tác vệ sinh bảo mật định kỳ. Giới hạn của nó cũng đã được biết rõ. Công cụ quét tạo ra cảnh báo sai, bỏ sót các vấn đề phụ thuộc vào logic nghiệp vụ và không thể cho biết liệu một phát hiện bị đánh giá thấp có trở nên nghiêm trọng khi kết hợp với một phát hiện khác hay không. Kiểm thử xâm nhập bắt đầu từ một phạm vi bằng văn bản và quy tắc thực hiện (rules of engagement). Người kiểm thử sử dụng công cụ, kể cả công cụ quét, nhưng sau đó làm việc thủ công: xác thực các phát hiện, kiểm thử xác thực và phân quyền, kiểm tra cách tách biệt vai trò và khách thuê (tenant), và đi theo những đường tấn công thực tế mà kẻ tấn công có thể thử. Kết quả là một báo cáo có bằng chứng, mức độ nghiêm trọng và hướng dẫn khắc phục, thay vì một danh sách thô kết quả từ công cụ. Tóm lại, quét cho biết điều gì có thể sai; kiểm thử xâm nhập cho biết điều gì sai một cách có thể chứng minh trong phạm vi đã thống nhất và vì sao điều đó quan trọng.

Dành cho ai

Phần so sánh này hữu ích cho các nhóm:

• Đã nhận được yêu cầu "kiểm thử bảo mật" từ khách hàng, đối tác hoặc công ty bảo hiểm và cần hiểu thực sự người ta đang yêu cầu gì
• Đã quét định kỳ và muốn biết liệu một đợt kiểm thử thủ công có mang lại hiểu biết đáng kể hay không
• Sắp ra mắt một ứng dụng web, API hoặc ứng dụng di động mới và cần quyết định mức độ kiểm thử trước khi ra mắt
• Cần giải thích với ban lãnh đạo vì sao hai báo giá "kiểm thử" lại khác nhau nhiều về khối lượng công việc và kết quả bàn giao

Giúp làm rõ điều gì

Đặt hai phương pháp cạnh nhau giúp làm rõ:

• Câu hỏi của bạn là về vệ sinh bảo mật đối với các vấn đề đã biết (quét) hay về rủi ro có thể bị khai thác trong một hệ thống cụ thể (kiểm thử xâm nhập)
• Phát hiện nào trong một báo cáo quét hiện có nhiều khả năng là nhiễu và phát hiện nào cần được xác thực thủ công
• Logic nghiệp vụ, kiểm soát truy cập và các chuỗi tấn công nhiều bước nằm ngoài những gì công cụ tự động thường phát hiện như thế nào
• Bằng chứng nào mà một bên liên quan sẽ mong đợi thấy trong báo cáo cuối cùng

Những gì được bao gồm

• Danh mục cho việc quét: xác định danh sách tài sản, lên lịch quét định kỳ, giao người phụ trách phân loại kết quả và theo dõi việc khắc phục theo thời gian
• Danh mục cho kiểm thử xâm nhập: thống nhất bằng văn bản về mục tiêu, môi trường, khung thời gian kiểm thử, phương thức truy cập, đầu mối liên hệ được chỉ định và điều kiện dừng trước khi bắt đầu
• Xác nhận ủy quyền bằng văn bản từ chủ sở hữu hệ thống và từ mọi nhà cung cấp dịch vụ lưu trữ hoặc nhà cung cấp bên thứ ba vận hành các hệ thống trong phạm vi
• Quyết định có cần kiểm thử có xác thực hay không (tài khoản kiểm thử cho từng vai trò) để có thể xem xét các vấn đề về kiểm soát truy cập
• Thống nhất cách đánh giá mức độ các phát hiện và cách chia sẻ bằng chứng một cách an toàn với các đầu mối liên hệ được chỉ định
• Lên kế hoạch một khung thời gian kiểm thử lại để xác nhận các phát hiện đã được sửa sau khi khắc phục

Những gì không được bao gồm

• Khẳng định rằng chỉ riêng việc quét đã chứng minh một ứng dụng là an toàn
• Khẳng định rằng kiểm thử xâm nhập tìm ra mọi điểm yếu; nó xem xét một phạm vi đã thống nhất trong một khoảng thời gian đã thống nhất
• Hướng dẫn khai thác hoặc kiểm thử các hệ thống mà bạn không sở hữu hoặc không được phép kiểm thử
• Chứng nhận, phê duyệt tuân thủ hoặc ý kiến kiểm toán chính thức

Khi nào nên chọn

Hãy chọn quét khi cần khả năng quan sát thường xuyên, trên diện rộng đối với nhiều tài sản và đã có quy trình phân loại và sửa những gì công cụ báo cáo. Hãy chọn kiểm thử xâm nhập khi một hệ thống cụ thể có vai trò quan trọng với doanh nghiệp, khi khách hàng hoặc đối tác yêu cầu bằng chứng về kiểm thử thủ công, trước một đợt ra mắt quan trọng, hoặc sau những thay đổi lớn về xác thực, thanh toán hay xử lý dữ liệu. Nhiều tổ chức sử dụng cả hai: quét theo lịch để duy trì vệ sinh bảo mật ổn định và kiểm thử xâm nhập định kỳ để xem xét các hệ thống mang nhiều rủi ro nhất. Nếu chưa thể liệt kê tài sản hoặc người phụ trách, một đợt đánh giá nền tảng rộng hơn có thể là bước đầu hữu ích hơn cả hai phương pháp trên.

Phương pháp của chúng tôi

Hãy bắt đầu từ quyết định cần đưa ra. Nếu một bảng câu hỏi của khách hàng yêu cầu kiểm thử xâm nhập hằng năm, một báo cáo quét thường sẽ không đáp ứng được. Nếu chỉ cần biết các máy chủ hướng ra internet đã được vá hay chưa, một đợt kiểm thử thủ công đầy đủ có thể vượt quá nhu cầu. Tiếp theo, xác nhận phạm vi: những ứng dụng, API, môi trường và vai trò người dùng nào được bao gồm, và những gì được loại trừ rõ ràng. Thống nhất khung thời gian kiểm thử và người có quyền tạm dừng công việc. Dịch vụ Penetration Testing của chúng tôi tuân theo trình tự này: phạm vi, ủy quyền bằng văn bản, kiểm thử trong khuôn khổ quy tắc thực hiện đã thống nhất, báo cáo phát hiện bằng văn bản kèm hướng dẫn khắc phục theo thứ tự ưu tiên, buổi trao đổi kết quả và, nếu có trong phạm vi, kiểm thử lại các phát hiện đã thống nhất. Dù sử dụng nhà cung cấp nào, hãy đề nghị xem một báo cáo mẫu trước khi cam kết và kiểm tra xem báo cáo có tách biệt các phát hiện đã được xác thực với các quan sát mang tính thông tin hay không. Cuối cùng, hãy dành thời gian cho việc khắc phục. Một đợt kiểm thử tạo ra các phát hiện mà không ai có thời gian sửa sẽ mang lại ít giá trị, vì vậy hãy chọn ngày kiểm thử phù hợp với khả năng xử lý kết quả của đội ngũ.

Penetration Testing

Câu hỏi thường gặp

Bài viết liên quan