Sårbarhetsskanning vs penetrationstestning: hur skiljer sig?

Programvarusäkerhet är avgörande. Tillåt den programvaran tillgång till internet, och kravet på säkerhet ökar med ofattbara storleksordningar.

Framgångsrikt skydd av programvara och dess tillgångar kräver ett mångfacetterat tillvägagångssätt, inklusive (men inte begränsat till) sårbarhetsskanning och penetrationstestning. Dessa termer förväxlas ofta inom IT-branschen, och av goda skäl.

Penetrationstester och sårbarhetsgenomsökningar är förvirrade för varandra.

Sårbarhetsbedömningar och skannar söksystem och profiler efter vad du kan förvänta dig: sårbarheter. Där-som penetrationstestning testar för hot som aktivt försöker försvaga en miljö. En kritisk skillnad mellan de två är att sårbarhetsskanning kan automatiseras, där ett penetrationstest kräver olika nivåer av expertis.

Alla nätverk, oavsett omfattning, är potentiellt utsatta för hot. Genom att noggrant övervaka och testa ett nätverk för säkerhetsproblem kan du eliminera hot och minska den totala risken. Att tro att ditt nätverk är säkert baserat på antaganden snarare än datadrivna tester kommer alltid att ge en falsk känsla av säkerhet och kan leda till katastrofala resultat.

Vad är sårbarhetsskanning?

Sårbarhetsskanning är en term för programvara utformad för att bedöma annan programvara, nätverksoperationer eller applikationer. Denna mjukvara för sårbarhetstestning kommer att söka efter potentiella svagheter i kod eller struktur. På samma sätt som en tillverkningsingenjör övervakar sin produkt för strukturell integritet, gör sårbarhetstestning detsamma, letar efter svaga punkter eller dålig konstruktion. Skanningarna identifierar områden där ett system kan vara öppet för attack.

Det finns två typer av skanningar: autentiserade och oautentiserade. Skillnaden är att autentiserade skanningar tillåter direkt nätverksåtkomst med hjälp av fjärrprotokoll som säkert skal (SSH) eller fjärrskrivbordsprotokoll (RDP). En oautentiserad skanning kan endast undersöka offentligt synlig information och kan inte ge detaljerad information om tillgångar. Denna typ av skanning används vanligtvis av säkerhetsanalytiker som försöker fastställa säkerhetsläget för ett nätverk.

Modern skanningsprogramvara är ofta tillgänglig som Software-as-a-Service (SaaS) av specifika leverantörer som bygger webbaserade gränssnittsapplikationer. Dessa applikationer har kapacitet att skanna installerad programvara, öppna portar, validera certifikat och mycket mer.

Skanners förlitar sig på publicerade och regelbundet uppdaterade listor över kända sårbarheter, som är tillgängliga för mycket använd programvara. Sårbarheter kommer inte in på listan förrän det finns en anmärkningsvärd fix (som kan utgöra svårigheter för attacker med nolldagsstil). När programvaran upptäcker en anomali levereras en patch. Programvaran är utformad för att upptäcka problem genom att fråga programvaran efter versionsinformation och observera de svar som programvaran ger på specifika förfrågningar.

Sårbarheter klassificeras efter prioritet. Kritiska sårbarheter indikerar en hög sannolikhet att en angripare kan utnyttja svagheter och orsaka skada. Lägre prioriterade hot kan hjälpa inkräktare att samla information men tillåter inte direkt intrång.

Center for Internet Security (CIS) betraktar kontinuerlig sårbarhetsskanning som ett kritiskt krav för effektivt cyberförsvar.

Vad är penetrationstestning?

I motsats till sårbarhetsskanning är penetrationstestning (även känd som "penntest") en auktoriserad attack, simulerad på ett datorsystem, utformad för att utvärdera systemets säkerhet. Tester körs för att identifiera svagheter (sårbarheter), såsom förmåga att få tillgång till ett systems funktioner eller data. Den sammanställer också en riskbedömning av hela systemet.

Ett penetrationstest kan hjälpa till att avgöra om ett system är sårbart för en attack, om de nuvarande försvarssystemen är tillräckliga, och om inte, vilka försvar som besegrades.

Penetrationstester kan riktas mot antingen kända sårbarheter i applikationer eller vanliga mönster som förekommer i många applikationer. Den kan hitta inte bara mjukvarufel utan även svagheter i en applikation och nätverkskonfiguration.

Det finns vanligtvis fem stadier av penetrationstestning:

Rekognosering - Samla information om systemet som ska inriktas på.
Scanning - Penetrationstestverktyg som används för att främja angriparens kunskap om systemet.
Få åtkomst - Med hjälp av tidigare insamlad data kan angriparen rikta in sig på en exploatering i systemet.
Behålla åtkomst - Att vidta åtgärder för att förbli inom målmiljön för att samla in så mycket data som möjligt.
Täckningsspår - Angriparen måste radera alla spår av attacken från systemet inklusive alla typer av insamlade data eller loggade händelser för att förbli anonym.

"Fuzzed"-paket är en populär teknik. Dessa är legitima förfrågningar till applikationer med ett eller några tecken som ändrats slumpmässigt. De utövar systemets förmåga att hantera felaktiga inmatningar rent.

Precis som med sårbarhetsskanningar kan testerna antingen vara autentiserade eller oautentiserade. Ett autentiserat test körs som en registrerad och inloggad användare på det interna nätverket, medan oautentiserat skulle komma från en extern källa utan nätverksbehörighet.

I vissa fall går tester utöver att skicka och ta emot data och undersöker en organisations affärsprocesser. Om det är inom deras tilldelade omfattning kan testare skicka nätfiskemeddelanden för att testa användarnas förmåga att fånga bedrägliga förfrågningar. De kan till och med försöka smyga in i lokalerna för att testa den fysiska säkerheten.

Säkerhetsexperter klassificerar penntester som "vit låda" eller "svart låda. ” Ett white box-test använder sig av så mycket information som möjligt om målsystemet. Detta inkluderar programvaran den kör, nätverksarkitekturen och ibland även källkod. Ett black box-test använder endast allmänt tillgänglig information.

Ett white box-test borde i princip hitta fler problem, eftersom det har mer information att gå på. Det är dock lätt för en penetrationstestare att bli beroende av vad de vet om systemet och inte använda sin fantasi lika mycket. Black box-testare startar från samma position som en utomstående inkräktare och måste hitta svagheter utan hjälp. De kan komma på tillvägagångssätt som white box-testare inte tänker på. Båda metoderna har sina för- och nackdelar.

Penntest är inte en unik säkerhetslösning, utan en del av en fullständig säkerhetsrevision. Till exempel, för att förbli PCI-kompatibel, kräver Payment Card Industry Data Security Standard regelbundet schemalagda säkerhetspenetrationstester, och särskilt efter systemändringar.

Förstå säkerhetstestningsrapporter

Leveransen för båda typerna av testning är en detaljerad rapport om eventuella problem. Sårbarhetsrapporter är långa men enkla. För varje problem listar rapporten en källa, en allvarlighetsgrad, en beskrivning och en åtgärd. Den typiska lösningen är att installera en patch. Om programvaran har svagheter och dess utgivare inte längre underhåller den, kan det vara nödvändigt att ersätta den med något säkrare. InfoSec-personalen måste utföra detaljerad triage på listan, eliminera eller skjuta upp åtgärder där sårbarheten utgör liten eller ingen risk.

Rapporten från ett penetrationstest kommer att lista färre objekt, men de är inte lika enkla att förklara och åtgärda. Den kommer att beskriva attacktekniken, som ofta är tvetydig. Det kommer att förklara de potentiella effekterna. Lösningen kan vara enkel, som att begränsa åtkomsten. I andra fall kan det krävas seriös analys att komma med en fix. En stark rapport kommer att sätta resultaten i sitt sammanhang och ge detaljerade rekommendationer för åtgärdande.

Skillnad mellan penetrationstestning och sårbarhetsskanningsprocess

Att köra ett penetrationstest anses vara mer utmanande eller åtminstone involverat än en sårbarhetsskanning.

Ett penetrationstest försöker bryta sig in i ett säkerhetssystem. Om systemet har adekvat försvar, kommer detta att utlösa larm. Även om administratörer behöver veta skillnaden mellan ett test och ett verkligt hot, kan de inte svika sig mot trovärdiga attacker som kan hända samtidigt.

Helst bör ett penetrationstest köras en gång per år, medan sårbarhetstest bör köras kontinuerligt.

Ett penetrationstest kräver mer kreativitet än en sårbarhetsskanning eftersom det letar efter sätt att utnyttja den vanliga verksamheten. Till exempel kan en VD överföra sitt lösenord till sin webbmail med samma lösenord som en intern LDAP. För att komma på nya teststrategier vill du arbeta med människor som är kreativa men också tekniskt kapabla att utföra attacken.

Skanning av sårbarheter är en viktig process för att upprätthålla informations- och nätverkssäkerhet. Varje nytillagd utrustning eller programvara som distribueras bör ha en sårbarhetsskanning körd mot sig och inom en månad efter det. Det är viktigt att upprätta en baslinje av viktig utrustning som uppdateras och underhålls regelbundet. Alla öppna portar eller ändringar som hittas efter en skanning bör undersökas och betraktas som allvarliga.

Sårbarhetsskanning och penetrationstester är viktiga

För att säkerställa en detaljerad och väl skyddad säkerhetsnivå för ett nätverk måste det finnas detaljerade åtgärder för att genomföra både sårbarhetssökningar och penetrationstester. Att leta efter sårbarheter hittar oparpad och dåligt underhållen programvara. Det uppmanar IT-personal att uppgradera programvara som har stött på problem eller potentiella svagheter. Om det inte är möjligt måste teamet hitta en lösning eller byta ut programvaran.

Skanning hittar inte alla problem. Det säkraste sättet att avgöra om ett system är säkert är att försöka bryta det. Det kommer att hitta inte bara programvarufel utan osäkra anslutningar, konfigurationssvagheter och exponerade data.

Tillsammans är sårbarhetsskanning och penetrationstestning kraftfulla nätverkssäkerhetsverktyg som används för att övervaka och förbättra informationssäkerhetsprogram.