Sårbarhedsscanning vs penetrationstest: Hvordan er forskellen?

Softwaresikkerhed er afgørende. Tillad den software adgang til internettet, og kravet til sikkerhed øges med ufattelige størrelsesordener.

Succesfuld beskyttelse af software og dens aktiver kræver en mangefacetteret tilgang, herunder (men ikke begrænset til) sårbarhedsscanning og penetrationstest. Disse termer forveksles ofte inden for IT-branchen, og det er der en god grund til.

Penetrationstests og sårbarhedsscanninger er forvirrede for hinanden.

Sårbarhedsvurderinger og scanner søgesystemer og profiler for, hvad du ville forvente: sårbarheder. Hvor-som penetrationstest tester for trusler, der aktivt forsøger at svække et miljø. En kritisk forskel mellem de to er, at sårbarhedsscanning kan automatiseres, hvor en penetrationstest kræver forskellige niveauer af ekspertise.

Alle netværk, uanset skala, er potentielt i fare for trusler. Grundig overvågning og test af et netværk for sikkerhedsproblemer giver dig mulighed for at eliminere trusler og reducere den samlede risiko. At tro på, at dit netværk er sikkert baseret på antagelser snarere end datadrevet test vil altid give en falsk følelse af sikkerhed og kan føre til katastrofale resultater.

Hvad er sårbarhedsscanning?

Sårbarhedsscanning er en betegnelse for software designet til at vurdere anden software, netværksoperationer eller applikationer. Denne sårbarhedstestsoftware vil scanne for potentielle svagheder i kode eller struktur. På samme måde som en produktionsingeniør overvåger hans/hendes produkt for strukturel integritet, gør sårbarhedstest det samme ved at søge efter svage punkter eller dårlig konstruktion. Scanningerne identificerer områder, hvor et system kan være åbent for angreb.

Der er to typer scanninger: godkendte og ikke-godkendte. Forskellen er, at autentificerede scanninger giver mulighed for direkte netværksadgang ved hjælp af fjernprotokoller såsom sikker shell (SSH) eller remote desktop protocol (RDP). En uautoriseret scanning kan kun undersøge offentligt synlige oplysninger og er ikke i stand til at give detaljerede oplysninger om aktiver. Denne type scanning bruges typisk af sikkerhedsanalytikere, der forsøger at bestemme et netværks sikkerhedsposition.

Moderne scanningssoftware er ofte tilgængelig som Software-as-a-Service (SaaS) af specifikke udbydere, der bygger webbaserede grænsefladeapplikationer. Disse applikationer har kapacitet til at scanne installeret software, åbne porte, validere certifikater og meget mere.

Scannere er afhængige af offentliggjorte og regelmæssigt opdaterede lister over kendte sårbarheder, som er tilgængelige for udbredt software. Sårbarheder kommer ikke på listen, før der er en bemærkelsesværdig rettelse (som kan udgøre vanskeligheder for nul-dages stilangreb). Når softwaren registrerer en anomali, leveres en patch. Softwaren er designet til at opdage problemer ved at forespørge softwaren om versionsoplysninger og observere de svar, softwaren giver på specifikke anmodninger.

Sårbarheder er klassificeret efter prioritet. Kritiske sårbarheder indikerer en høj sandsynlighed for, at en angriber kan udnytte svagheder og forårsage skade. Trusler med lavere prioritet kan hjælpe ubudne gæster med at indsamle oplysninger, men tillader ikke direkte brud.

Center for Internetsikkerhed (CIS) betragter kontinuerlig sårbarhedsscanning som et kritisk krav for effektivt cyberforsvar.

Hvad er penetrationstest?

I modsætning til sårbarhedsscanning er penetrationstest (også kendt som en "pentest") et autoriseret angreb, simuleret på et computersystem, designet til at evaluere systemets sikkerhed. Der køres test for at identificere svagheder (sårbarheder), såsom evner til at få adgang til et systems funktioner eller data. Den udarbejder også en risikovurdering af hele systemet.

En penetrationstest kan hjælpe med at afgøre, om et system er sårbart over for et angreb, om de nuværende forsvarssystemer er tilstrækkelige, og hvis ikke, hvilke forsvar der blev besejret.

Penetrationstest kan målrettes mod enten kendte sårbarheder i applikationer eller almindelige mønstre, der opstår på tværs af mange applikationer. Det kan ikke kun finde softwarefejl, men også svagheder i en applikation og netværkskonfiguration.

Der er typisk fem stadier af penetrationstest:

1. Rekognoscering - Indsamling af information om det system, der skal målrettes mod.
2. Scanning - Penetrationstestværktøjer, der bruges til at fremme hackerens viden om systemet.
3. Få adgang - Ved at bruge tidligere indsamlede data kan angriberen målrette mod en udnyttelse i systemet.
4. Opretholdelse af adgang - At tage skridt til at forblive inden for målmiljøet for at indsamle så mange data som muligt.
5. Dækkende spor - Angriberen skal slette alle spor af angrebet fra systemet, inklusive enhver form for indsamlet data eller loggede hændelser, for at forblive anonym.

"Fuzzed" pakker er en populær teknik. Disse er legitime anmodninger til applikationer med et eller nogle få tegn, der er ændret tilfældigt. De udøver systemets evne til at håndtere fejlagtige input rent.

Som med sårbarhedsscanninger kan testene enten være autentificerede eller uautentificerede. En autentificeret test kører som en registreret og logget ind bruger på det interne netværk, hvorimod uautoriseret vil være fra en ekstern kilde uden netværksrettigheder.

I nogle tilfælde går test ud over at sende og modtage data og undersøger en organisations forretningsprocesser. Hvis det er inden for deres tildelte omfang, kan testere sende phishing-beskeder for at teste brugernes evne til at fange svigagtige anmodninger. De kan endda forsøge at snige sig ind i faciliteterne for at teste den fysiske sikkerhed.

Sikkerhedseksperter klassificerer pentests som "hvid boks" eller "sort boks. ” En white box test gør brug af så meget information som muligt om målsystemet. Dette inkluderer den software, den kører, netværksarkitekturen og nogle gange endda kildekode. En sort boks-test bruger kun offentligt tilgængelig information.

En hvid boks-test burde i princippet finde flere problemer, da den har mere information at gå på. Det er dog nemt for en penetrationstester at blive afhængig af, hvad de ved om systemet og ikke bruge deres fantasi så meget. Black box testere starter fra samme position som en udefrakommende ubuden gæst og skal finde svagheder uden hjælp. De kan udtænke tilgange, som testere af hvide bokse ikke tænker på. Begge metoder har deres fordele og ulemper.

Pentests er ikke en enkelt sikkerhedsløsning, men en del af en komplet sikkerhedsrevision. For for eksempel at forblive PCI-kompatibel, kræver betalingskortindustriens datasikkerhedsstandard regelmæssige planlagte sikkerhedsgennemtrængningstest, og især efter systemændringer.

Forstå sikkerhedstestrapporter

Leverancen for begge typer test er en detaljeret rapport om eventuelle fundne problemer. Sårbarhedsrapporter er lange, men ligetil. For hvert problem angiver rapporten en kilde, en alvorlighedsgrad, en beskrivelse og en afhjælpende handling. Det typiske middel er at installere en patch. Hvis softwaren har svagheder, og dens udgiver ikke længere vedligeholder den, kan det være nødvendigt at erstatte den med noget mere sikkert. InfoSec-personalet skal udføre detaljeret triage på listen, eliminere eller udsætte handling, hvor sårbarheden udgør ringe eller ingen risiko.

Rapporten fra en penetrationstest vil vise færre punkter, men de er ikke så ligetil at forklare og afhjælpe. Den vil beskrive angrebsteknikken, som ofte er tvetydig. Det vil forklare de potentielle virkninger. Løsningen kunne være enkel, såsom at begrænse adgangen. I andre tilfælde kan det kræve seriøs analyse at komme med en rettelse. En stærk rapport vil sætte resultaterne i sammenhæng og give detaljerede anbefalinger til afhjælpning.

Forskellen mellem penetrationstest og sårbarhedsscanningsproces

At køre en penetrationstest anses for at være mere udfordrende eller i det mindste involveret end en sårbarhedsscanning.

En penetrationstest forsøger at bryde ind i et sikkerhedssystem. Hvis systemet har tilstrækkeligt forsvar, vil dette udløse alarmer. Selvom administratorer har brug for at kende forskellen mellem en test og en reel trussel, kan de ikke svigte deres vagt over for troværdige angreb, der kunne finde sted på samme tid.

Ideelt set bør en penetrationstest køres en gang om året, hvorimod sårbarhedstest skal køres kontinuerligt.

En penetrationstest kræver mere kreativitet end en sårbarhedsscanning, da den leder efter måder at udnytte den almindelige forretningsgang på. For eksempel kan en administrerende direktør overføre sin adgangskode til deres webmail ved at bruge den samme adgangskode som en intern LDAP. For at komme med nye teststrategier vil du gerne arbejde med mennesker, der er kreative, men også teknisk i stand til at udføre angrebet.

Skanning af sårbarheder er en vigtig proces til at opretholde informations- og netværkssikkerhed. Hvert nyligt tilføjet udstyr eller software, der er implementeret, bør have en sårbarhedsscanning kørt imod sig og inden for en måned efter det. Det er vigtigt at etablere en basislinje af væsentligt udstyr, der opdateres og vedligeholdes regelmæssigt. Alle åbne porte eller ændringer fundet efter en scanning bør undersøges og betragtes som alvorlige.

Sårbarhedsscanning og penetrationstest er afgørende

For at sikre et detaljeret og velbeskyttet sikkerhedsniveau for et netværk, skal der tages detaljerede skridt til at udføre både sårbarhedsscanninger og penetrationstests. Søgning efter sårbarheder finder uopdateret og dårligt vedligeholdt software. Det beder it-personale om at opgradere software, der er stødt på problemer eller potentielle svagheder. Hvis det ikke er muligt, skal teamet finde en løsning eller erstatte softwaren.

Scanning finder ikke alle problemerne. Den sikreste måde at afgøre, om et system er sikkert, er at prøve at bryde det. Det vil ikke kun finde softwarefejl, men også usikre forbindelser, konfigurationssvagheder og blotlagte data.

Tilsammen er sårbarhedsscanning og penetrationstest kraftfulde netværkssikkerhedsværktøjer, der bruges til at overvåge og forbedre informationssikkerhedsprogrammer.