Behatolási teszt vagy sebezhetőségi vizsgálat
Behatolási teszt vagy sebezhetőségi vizsgálat: a vizsgálat ismert gyengeségeket talál, a behatolási teszt bebizonyítja, mit tud valójában egy támadó. Íme, melyikre van szüksége és mikor.
A behatolási teszt és a sebezhetőségi felmérés, vagyis a pentest és a sebezhetőségi vizsgálat között a különbség a lista és a bizonyíték között van. A sebezhetőségi felmérés vizsgálati eszközökkel listázza a rendszerein ismert gyengeségeket. A behatolási teszt során egy szakértő megpróbál behatolni, és a gyengeségeket összekapcsolva megmutatja, mit érhet el valójában egy támadó.
Kezdje rendszeres sebezhetőségi felmérésekkel, hogy az alapok tiszták legyenek. Vegyen fel behatolási tesztet egy indulás előtt, nagyobb változtatások után, vagy amikor egy ügyfél, biztosító vagy jogszabály bizonyítékot kér. A legtöbb érett program mindkettőt használja.
Egymás mellett
| Képesség | Behatolási teszt | Sebezhetőségi felmérés |
|---|---|---|
| Fő kérdés | Be tud jutni egy támadó, és meddig? | Milyen ismert gyengeségek vannak? |
| Módszer | Szakértő manuális tesztelése, eszközökkel támogatva | Többnyire automatizált vizsgálat, némi áttekintéssel |
| Kihasználja a gyengeségeket | Igen, a megbeszélt szabályok szerint | Nem, csak észlel és jelent |
| Mélység | Mély, logikai hibákat és láncolt támadásokat talál | Széles, ismert problémákat talál sok rendszeren |
| Téves riasztások | Kevés, a megállapítások ellenőrzöttek | Több, az eredményeket szűrni kell |
| Eredmény | Elbeszélő jelentés bizonyítékkal, hatással és javításokkal | Priorizált megállapításlista és súlyossági pontszámok |
| Gyakoriság | Évente egyszer vagy kétszer, és nagyobb változtatások után | Havonta, negyedévente vagy folyamatosan |
| Költség | Magasabb, szakértői manuális munka | Alacsonyabb, nagyrészt automatizált |
| Tipikus kiváltó ok | Indulás, audit, ügyfél vagy biztosító kérése | Rutin higiénia és megfelelés |
Miben jó az egyik és a másik
Behatolási teszt
- Valós hatást mutat, nem csak súlyossági pontszámot
- Olyan üzleti logikai hibákat talál, amelyeket egy vizsgáló nem lát
- Ellenőrzi a megállapításokat, így kevesebb a zaj
- Sok auditor és ügyfél bizonyítékként elfogadja
- Tesztenként drágább
- Pillanatkép, nem folyamatos
- A minőség nagymértékben a tesztelőtől függ
Sebezhetőségi felmérés
- Gyors és megfizethető sok rendszeren
- Könnyen megismételhető ütemezetten
- Korán kiszúrja a hiányzó javításokat és hibás beállításokat
- Jó alap a javítási rutinhoz
- Nem bizonyítja, hogy egy probléma kihasználható
- Téves riasztásokat ad, amelyeket át kell nézni
- Kihagyja a logikai hibákat és a láncolt támadásokat
Válasszon behatolási tesztet, amikor
- Új alkalmazást, webshopot vagy API-t indít
- Egy ügyfél, biztosító vagy szabályozó pentest-jelentést kér
- Jelentős változtatásokat végzett a rendszereken vagy az architektúrán
- Tudni szeretné, meddig juthat el valójában egy támadó
- A rutinvizsgálatok tiszták, és keményebb tesztet szeretne
Válasszon sebezhetőségi felmérést, amikor
- Rendszeres ellenőrzésre van szüksége szervereken, eszközökön és szoftvereken
- Gyors, alacsony költségű képet szeretne a kitettségéről
- Javításkezelési rutint épít ki
- Még soha nem vizsgálta a rendszereit
- Folyamatos bizonyítékra van szüksége a megfeleléshez a pentestek között
Gyakori kérdések
Mi a különbség a pentest és a sebezhetőségi vizsgálat között?
A behatolási teszt és a sebezhetőségi felmérés között választani kell?
Melyiket végezzem előbb?
Milyen gyakran végezzek pentestet?
Több erről: összehasonlítások
Nem biztos benne, hogy ez hogyan vonatkozik Önre?
Egy vezető mérnök bejárja az Ön webhelyét, keresési jelenlétét és azt, ahogyan a megkeresések eljutnak Önhöz, majd leírja az elsőként javítandó három dolgot. A dokumentumot mindenképpen megtartja.