Menu

Sårbarhedsvurdering og forskel på penetrationstest

vulnerability assessment

Prøv Vores Instrument Til At Fjerne Problemer

Penetrationstestning mod sårbarhedsscanning:

Til tider har jeg set testere og virksomhedsejere tage fejl for at forstå den grundlæggende idé bag penetrationstest og sårbarhedsscanning.

De forveksles ofte med de samme tjenester. Når virksomheden ikke er i stand til at beslutte, om de skal gå til penetrationstest eller sårbarhedstest. Er penetrationstest det samme som sårbarhedstest, eller er de forskellige? Hvis de er forskellige, så er de beslægtede? Hvilken man skal vælge - Gennemtrængningstest eller sårbarhedstest ?

Vi vil prøve at finde ud af svarene på alle ovenstående spørgsmål i denne vejledning.

Penetrationstest mod sårbarhedsscanning

Hvad du lærer:

Introduktion

Til at begynde med vil jeg gerne have, at du læser fem sætninger:

  • Bananer vokser på et træ.
  • Et normalt menneske bruger kun 10% af sin hjerne.
  • At knække dine knoer forårsager gigt i alderdommen.
  • Flagermus er blinde.
  • Penetrationstest er den samme som ved sårbarhedsscanning.

Kan du gætte en almindelig ting blandt alle ovenstående udsagn? De er alle myter. Ja det er rigtigt. De er alle virkelig myter.

Men i denne vejledning af os generes vi hverken med bananerne eller flagermusene. Alt, hvad vi holder af, handler om, at penetrationstest sammenlignes med sårbarhedsscanningen. For at vide mere om sammenligningen eller bevise, at udsagnet er en myte, analyserer vi først penetrationstest og sårbarhedsscanning separat.

Introduktion til penetrationstest

En gennemtrængningstest kaldes kort sagt også ”Pen Test”. Denne form for test udføres på et system for at finde en vej ind i systemet. Dette kan udsætte de vigtige data, der lagres af systemet, for omverdenen.

Generelt kan målet for penetrationstest være af Hvid boks type eller sort boks type .

Black Box Penetration Testing:

Typisk er testeren ikke forsynet med nogen detaljer i systemet undtagen navnet. Dette ligner meget hacks fra det virkelige liv, hvor hacker ikke er opmærksom på andet end navnet på applikationen.

Black box-test replikerer de virkelige forhold og er ikke tidskrævende. På grund af ukendte områder relateret til kildekode og infrastruktur er der dog altid en mulighed for miste dele af systemet.

White Box Penetration Testing:

I denne proces leveres alle de nødvendige data relateret til systemet, der skal gennemgås penetrationstest, til testeren.

Dataene kan være netværksarkitektur, systemkonfigurationer, kildekoder osv. Dette er en længerevarende proces end ved test af Black Box-type pen. Dette er en grundig proces og har en dybere dækning sammenlignet med sort bokstype.

Pen-test udføres altid med tilladelse / anmodning fra klienten. At udføre pen-test på et websted uden ejerens samtykke er ulovligt og kan betegnes som hacking.

Nu ved vi, hvad penetrationstest er, og det er tid til at vide, hvorfor organisationer vælger det. Det siges, bedre at være sikker end undskyld. Pen-test gør en arkitektur stærkere og modstandsdygtig over for angreb.

Intro til sårbarhedsscanning

En sårbarhedsscanning bruges til at finde ud af sårbarheder / svagheder i et system. Denne opgave udføres ved at køre et program (kaldet sårbarhedsscanneren) på målcomputeren. Disse applikationer eller scannere kan udføres direkte på målcomputeren eller fra en netværksplacering.

Netværksplacering kommer i billedet for større organisationer, hvorimod det ikke er muligt at udføre scanneren på de lokale computere hele tiden.

Nu, Hvordan ved du, hvilken scanner der kan fungere til din applikation? Svaret er ret simpelt. Det vil sige, at sårbarhedsscannere næppe bruger systemoplysninger / parametre under scanning.

Alt, hvad de har brug for, er systemets IP. Med IP alene kan en sårbarhedsscanner finde ud af de potentielle steder, hvor et angreb kan udføres på systemet.

Der er situationer, hvor en virksomhed har intranet, og ikke alle computere er udsat for internetverdenen. I så fald skal sårbarhedsscanneren køres fra Intranet, hvormed scanningen for både interne sårbarheder såvel som de eksterne sårbarheder kan fanges.

Når en test / scanning er afsluttet, hjælper scanneren med at få en rapport, der viser alle mulige sårbarheder. Den genererede rapport har forskellige data relateret til sårbarhederne i den.

Dataene spænder fra serverstatistikkerne (baseret på sårbarhedsindeks), status for forskellige tjenester, der kører på forskellige servere, status for de sårbarheder, der er fundet baseret på deres sværhedsgrad.

Når en rapport er genereret, skal den analyseres for at finde ud af den virkelige situation. Ikke hele tiden er de fundne sårbarheder så alvorlige. Der kan være tilfælde, hvor scanneren trækker navnet, bare fordi de forventede data ikke svarer til output. Men det er måske ikke en reel sårbarhed.

Det er grunden til, at der skal foretages yderligere analyser af en rapport om sårbarhedsscanning for at finde ud af, om den fundne sårbarhed er korrekt eller ej.

Penetrationstestning mod sårbarhedsscanning

Vi ved nu, hvad en penetrationsprøvningsproces er, og hvad sårbarhedsscanning er.

At fortsætte med et hoved-hoved-sammenstød mellem de to giganter ville være sjovt.

Penetrationstestning mod sårbarhedsscanning

Eksempel:

Vi kommer ind i et virkeligt eksempel for at forstå forskellen mellem de to.

Lad os tage Mr. X som et eksempel. Mr. X er en heist-specialist. Vi skal følge hans plan for hans næste heist. Han planlægger at berøve en bank til stede midt i byen.

Bankbygningen er omgivet af en politistation, en brandstation, en offentlig park (som forbliver lukket om natten) og en dam. Bankbygningen er en bygning med 20 etager og en helikopterplade på toppen af ​​den. Før han faktisk berøver banken, skal han finde de mulige indgangspunkter i bankbygningen.

Siderne af bygningen, der har en politistation og en brandstation, er umulige at bryde. De opererer 24X7, og hvem vil tørre at rane en bank med Cop's hul som indgangssted! Det efterlader Mr. X med 3 andre muligheder. Ja, du fik det rigtigt. Han har også taget som indgangspunkt (Husk Heath Ledger fra Batman-trilogien?).

Rooftop ser ud til at være et underligt valg her, da bygningen kun har 20 etager og chancerne for at blive fanget af mennesker omkring dig er meget store. Og banken er den eneste eneste højhus i området. Så det gør tagindgangen til et stort NEJ! Med de to muligheder, der er tilbage, begynder Mr. X at analysere søen som et indgangspunkt.

Sø kan være en god indgangsform, men synligheden ville være et problem. Hvordan ville nogen reagere, hvis de ser nogen svømme ved midnat, også dette mod bankbygningen? Den sidste mulighed er den offentlige park.

Lad os analysere parken detaljeret. Det er lukket for offentligheden efter seks om aftenen. Park har mange træer, som giver den nødvendige skygge og understøtter til stealth mode. Parken har en grænsevæg, der deles med bankens lokaler.

Nu kan al ovenstående analyse siges som en sårbarhedsscanning. En scanner gør alle disse ting. At finde ud af en sårbar position at komme ind.

Når vi går tilbage til vores historie, skal vi antage, at Mr. X får succes i at komme ind i banken gennem indgangsstedet for den offentlige park. Hvad gør han nu? Uanset om han bryder ind i Vault for at få kontanter eller indskudsskabe for at få værdigenstande.

Denne del er penetrationstesten. Du får adgang og prøver at udnytte systemet. Du lærer at kende dybden, du kan gå med dette angreb.

Bemærk: Ingen banker blev røvet, mens de skrev denne vejledning. Og det er heller ikke tilrådeligt at følge Mr. X's fodspor.

Jeg efterlader dig med nedenstående sammenligningstabel, så du kan få mere klarhed om forskellen mellem de to.

Sammenligning

Er sårbarhedsscanning og penetrationstest relateret til hinanden?

Ja, sårbarhedsscanning og penetrationstest er relateret til hinanden. Indtrængningstest har en afhængighed af scanningen af ​​sårbarhed.

For at starte Penetration-test udføres en komplet sårbarhedsscanning, så testeren lærer sårbarheder, der er til stede i systemet, og derefter udnytter dem.

enhedstest vs funktionstest vs integrationstest

Så med sårbarhedsscanning lærer vi de mulige sårbarheder at kende, men disse sårbarheder er uudnyttet indtil dette tidspunkt. Det er penetrationstest, der bekræfter, i hvilket omfang sårbarheden er mulig at blive udnyttet.

De krydser også hinanden på bestemte punkter som vist i nedenstående billede:

Sårbarhedsvurdering og penetrationstest

Hvilken skal man vælge - Pen-test eller sårbarhedsscanning?

Efter at have forstået forskellen mellem de to, opstår nu spørgsmålet som - hvilken man skal vælge?

Nå, målet med sårbarhedsscanning er at finde ud af svaghederne i dit system og rette dem. Mens målet med penetrationstest er at finde ud af, om nogen kan bryde dit system, og hvis ja, hvad vil angrebets dybde være, og hvor meget meningsfulde data kan de få.

Tilsammen kan sårbarhedsscanning og pen-test fortælle dig, hvad der er i fare, og hvordan det kan løses. Målet er at forbedre den generelle sikkerhed i dit system. Du skal vælge mellem de to afhængigt af din virksomheds kritiske betydning. Hvis du går til en pen-test, dækker den også sårbarhedsscanning.

Pen-test er imidlertid meget dyr (omkring $ 4.000 til $ 20.000) og en tidskrævende også sammenlignet med sårbarhedsscanning. Årsagen er, at det bringer meget nøjagtige og grundige resultater, og det eliminerer falske positive sårbarheder.

I mellemtiden er sårbarhedsscanning meget hurtig og langt billigere (næsten $ 100 pr.IP pr. År, afhængigt af leverandøren) end pen-test. Som en organisation kan du gå til sårbarhedsscanning månedligt, kvartalsvis eller endda ugentligt. Og vælg penprøve årligt.

Mest populære værktøjer

Nogle af de almindeligt anvendte værktøjer til sårbarhedsscanning inkluderer:

  • Nessus
  • Ingen
  • HELGEN
  • OpenVAS osv.

Almindeligt anvendte værktøjer til pen-test inkluderer:

  • Qualys
  • Kerneeffekt
  • Metasploit osv.

Pen-testere skriver også deres egen udnyttelseskode i henhold til kravet.

Konklusion

Fra denne vejledning er vi klar over, at både pen-test og sårbarhedsscanning er to forskellige aktiviteter, der udføres for at gøre applikationen sikrere mod angreb. De kan også bruges sammen, hvis det kræves.

Sårbarhedstest identificerer de mulige smuthuller, og Pen-test udnytter disse smuthuller til at afdække omfanget af skader / tyveri, der kan ske med de forretningskritiske oplysninger. De gøres for at rette smuthuller og undgå potentielle angreb og sikkerhedsbrud på informationssystemet.

Yderligere læsning

Anbefalet læsning

^