Test penetracyjny a skanowanie podatności: kluczowe różnice

Co to jest

Skanowanie podatności polega na uruchomieniu narzędzia wobec hostów, stron internetowych lub aplikacji oraz zgłoszeniu problemów, które narzędzie potrafi rozpoznać: brakujące poprawki, nieaktualne wersje oprogramowania, wystawione usługi, słabe ustawienia TLS lub typowe błędy konfiguracji. Skany są szybkie i powtarzalne, dlatego dobrze sprawdzają się w regularnej higienie bezpieczeństwa. Ich ograniczenia są dobrze znane. Skanery generują fałszywe alarmy, pomijają problemy zależne od logiki biznesowej i nie potrafią stwierdzić, czy znalezisko o niskiej ocenie staje się poważne w połączeniu z innym. Test penetracyjny zaczyna się od pisemnego zakresu i zasad prowadzenia testów. Tester korzysta z narzędzi, w tym ze skanerów, ale następnie pracuje ręcznie: weryfikuje znaleziska, testuje uwierzytelnianie i autoryzację, sprawdza, jak oddzielone są role i dzierżawcy (tenants), oraz podąża realistycznymi ścieżkami, które mógłby wypróbować atakujący. Wynikiem jest raport z dowodami, oceną istotności i zaleceniami naprawczymi, a nie surowa lista wyników narzędzi. W skrócie: skan mówi, co może być nie tak; test penetracyjny pokazuje, co w uzgodnionym zakresie jest w sposób wykazany nie tak i dlaczego ma to znaczenie.

Dla kogo

To porównanie jest przydatne dla zespołów, które:

• Otrzymały od klienta, partnera lub ubezpieczyciela prośbę o „testy bezpieczeństwa” i muszą zrozumieć, o co faktycznie są proszone
• Już regularnie wykonują skany i chcą wiedzieć, czy test ręczny wniósłby istotną wiedzę
• Uruchamiają nową aplikację internetową, API lub aplikację mobilną i muszą zdecydować, jak głębokie powinny być testy przed wdrożeniem
• Muszą wyjaśnić kierownictwu, dlaczego dwie oferty na „testy” tak bardzo różnią się nakładem pracy i rezultatem

Co pomaga wyjaśnić

Zestawienie obu podejść pomaga wyjaśnić:

• Czy Państwa pytanie dotyczy higieny w zakresie znanych problemów (skan), czy możliwego do wykorzystania ryzyka w konkretnym systemie (test penetracyjny)
• Które znaleziska w istniejącym raporcie ze skanu są prawdopodobnie szumem, a które wymagają ręcznej weryfikacji
• Dlaczego logika biznesowa, kontrola dostępu i wieloetapowe ścieżki ataku wykraczają poza to, co zwykle wykrywają narzędzia automatyczne
• Jakich dowodów interesariusz będzie oczekiwał w raporcie końcowym

Co jest zawarte

• Lista kontrolna skanowania: określić listę zasobów, regularnie planować skany, wyznaczyć osobę odpowiedzialną za analizę wyników i śledzić postęp napraw w czasie
• Lista kontrolna testu penetracyjnego: przed rozpoczęciem prac uzgodnić na piśmie cele, środowiska, okno testowe, sposób dostępu, osoby kontaktowe i warunki przerwania
• Potwierdzić pisemną autoryzację właściciela systemu oraz każdego dostawcy hostingu lub innego dostawcy, który obsługuje systemy objęte zakresem
• Zdecydować, czy potrzebne są testy z uwierzytelnieniem (konta testowe dla każdej roli), aby można było zbadać problemy z kontrolą dostępu
• Uzgodnić, jak będą oceniane znaleziska i jak dowody będą bezpiecznie przekazywane wskazanym osobom kontaktowym
• Zaplanować okno ponownego testu, aby po naprawie można było potwierdzić usunięcie znalezisk

Co nie jest uwzględnione

• Twierdzenia, że sam skan wykazuje, iż aplikacja jest bezpieczna
• Twierdzenia, że test penetracyjny wykrywa każdą słabość; bada on uzgodniony zakres w uzgodnionym czasie
• Instrukcji wykorzystania podatności ani testowania systemów, których nie są Państwo właścicielem lub na których testowanie nie mają Państwo zgody
• Certyfikacji, zatwierdzenia zgodności ani formalnej opinii audytowej

Kiedy to wybrać

Skanowanie warto wybrać, gdy potrzebują Państwo regularnej, szerokiej widoczności wielu zasobów i mają proces analizy oraz naprawy tego, co raportuje skaner. Test penetracyjny warto wybrać, gdy konkretny system ma znaczenie dla biznesu, gdy klient lub partner prosi o dowód testów ręcznych, przed istotnym wdrożeniem albo po dużych zmianach w uwierzytelnianiu, płatnościach lub przetwarzaniu danych. Wiele organizacji korzysta z obu: z zaplanowanych skanów, aby utrzymać stałą higienę, oraz z okresowego testu penetracyjnego, aby zbadać systemy niosące największe ryzyko. Jeśli nie potrafią Państwo jeszcze wskazać swoich zasobów i ich właścicieli, szerszy przegląd bazowy może być bardziej użytecznym pierwszym krokiem niż którekolwiek z tych podejść.

Nasze podejście

Należy zacząć od decyzji, którą trzeba podjąć. Jeśli kwestionariusz klienta wymaga corocznego testu penetracyjnego, raport ze skanu zwykle go nie spełni. Jeśli chcą Państwo jedynie wiedzieć, czy serwery dostępne z internetu mają aktualne poprawki, pełny test ręczny może wykraczać poza potrzeby. Następnie należy potwierdzić zakres: które aplikacje, API, środowiska i role użytkowników są objęte, a które wyraźnie wyłączone. Trzeba uzgodnić okno testowe oraz to, kto może wstrzymać prace. Nasza usługa Penetration Testing przebiega według tego schematu: zakres, pisemna autoryzacja, testy w ramach uzgodnionych zasad prowadzenia testów, pisemny raport ze znaleziskami i priorytetowymi zaleceniami naprawczymi, omówienie wyników oraz — jeśli zostało to uwzględnione — ponowny test uzgodnionych znalezisk. Niezależnie od wybranego dostawcy warto przed podjęciem zobowiązania poprosić o przykładowy raport i sprawdzić, czy oddziela on zweryfikowane znaleziska od obserwacji informacyjnych. Na koniec należy zarezerwować czas na naprawy. Test, który przynosi znaleziska, na których usunięcie nikt nie ma czasu, wnosi niewiele, dlatego termin testu warto dopasować do możliwości zespołu w zakresie działania na podstawie wyników.

Penetration Testing

Często zadawane pytania

Artykuły pokrewne