Ключевое различие между тестированием на проникновение и сканированием уязвимостей

Операционная безопасность, или так называемая it soc, включает в себя внедрение решений, отслеживание изменений, надлежащее обслуживание систем, соответствие требуемым стандартам и соблюдение методов и целей безопасности.

Компания не выиграет от разработки надежной политики паролей, если никто не будет обеспечивать ее соблюдение, а пользователи будут использовать любые пароли, которые они хотят.

Это как переход на здоровый образ жизни. Если вы неделю ходите в спортзал, а до конца года едите пончики, вы не можете рассчитывать на то, что останетесь в форме.

Безопасность требует дисциплины, установленного режима и должной осмотрительности.

Здесь мы обсудим тестирование на проникновение и сканирование уязвимостей, а также их использование социальными сетями для киберзащиты.

Основные принципы и преимущества пентестинга

Сервисы пентестинга имитируют атаки на сети по заданию их владельца, руководителя высшего звена.

При его создании тестировщик использует набор процедур и инструментов, предназначенных для тестирования и попытки обойти защиту системы.

Его основная цель — оценить уровень устойчивости компании к атаке и выявить слабые места в ее среде.

Компаниям необходимо самостоятельно оценивать эффективность своих средств безопасности, а не просто доверять обещаниям поставщиков.

Хорошая компьютерная безопасность основана на фактах, а не только на представлении о том, как все должно работать. Этот метод имитирует те же приемы, что и настоящие злоумышленники.

Злоумышленники могут быть умными и изобретательными в своих подходах. Поэтому при тестировании также должны использоваться новейшие хакерские техники и надежная методология его проведения.

Во время тестирования следует проанализировать каждый компьютер в среде. Не стоит ожидать, что злоумышленник просканирует только один компьютер и, не обнаружив в нем уязвимостей, выберет другую компанию.

Тестирование на проникновение может проверить все точки, которые настоящие хакеры могут использовать для доступа к конфиденциальным и ценным данным, например:

• веб- и DNS-серверы;
• настройки роутеров;
• возможность получения некоторых критических данных;
• системы удаленного доступа, открытые порты и т.д.

Некоторые тесты могут навредить работе систем и даже вывести их из строя. Именно поэтому даты испытаний должны быть согласованы заранее.

Этот процесс не должен существенно влиять на деятельность компании. А персонал компании должен быть готов в случае необходимости быстро восстановить работу систем.

По результатам пентестинга должен быть составлен отчет с описанием выявленных проблем, степенью их критичности и рекомендациями по их устранению.

Основные принципы и преимущества сканирования уязвимостей

Проведение ручного или автоматизированного (а лучше их комбинации) сканирования уязвимостей требует от компании наличия сотрудников (или заключения договора с консультантами) с большим опытом работы в сфере безопасности, а также высокого уровня доверия.

Даже самый автоматизированный инструмент сканирования уязвимостей дает результаты, которые могут быть неверно истолкованы (ложноположительные), или обнаруженные уязвимости могут не иметь значения для вашей среды или быть компенсированы различными защитными мерами.

С другой стороны, в сети могут быть обнаружены две отдельные уязвимости, которые сами по себе несущественны, но вместе взятые они важны.

Кроме того, конечно, автоматизированный инструмент может пропустить отдельные уязвимости, такие как малоизвестный элемент, важный для вашей среды.

Цели такой оценки заключаются в том, чтобы:

1. Оценить истинное состояние безопасности среды.
2. Определите как можно больше уязвимостей, оцените и расставьте приоритеты для каждой из них.

Как правило, сканер уязвимостей веб-сайтов предоставляет следующие возможности:

• Идентификация активных систем в сети.
• Выявление активных уязвимых сервисов (портов) на найденных системах.
• Выявление запущенных на них приложений и анализ баннеров.
• Идентификация ОС, установленной на них.
• Выявление уязвимостей, связанных с обнаруженными ОС и приложениями.
• Обнаружение неправильных настроек.
• Тестирование на соответствие политикам использования приложений и политикам безопасности.
• Подготовка базы для проведения пентестинга.

Команда должна проверить, как системы реагируют на те или иные действия и атаки, чтобы узнать не только о наличии известных уязвимостей (устаревшая версия сервиса, учетная запись без пароля), но и о возможности несанкционированного использования тех или иных элементов среды. (SQL-инъекция, переполнение буфера, эксплуатация архитектурных недостатков системы (например, в атаках социальной инженерии).

Прежде чем принять решение об объеме тестирования, тестировщик должен объяснить возможные последствия тестирования.

Некоторые тесты могут отключить уязвимые системы; тестирование может негативно сказаться на производительности систем из-за дополнительной нагрузки при их тестировании.

Кроме того, руководство должно понимать, что результаты тестирования — это всего лишь моментальный снимок. Поскольку среда постоянно меняется, в любой момент могут появиться новые уязвимости.

Руководство также должно знать, что доступны различные варианты оценки, каждый из которых выявляет различные типы уязвимостей в среде, но каждый имеет свои ограничения.

Тестирование на проникновение против сканирования уязвимостей. В чем основное отличие?

Выбор проверки на проникновение или сканирования уязвимостей зависит от компании, ее целей в области безопасности и целей ее руководства.

Оба варианта имеют свои плюсы и минусы, которые следует учитывать при планировании процесса тестирования.

Некоторые крупные компании регулярно проводят пентесты в своей среде, используя различные инструменты или сканирующие устройства, которые непрерывно анализируют сеть компании, автоматически выявляя в ней новые уязвимости.

Другие компании обращаются к поставщикам услуг для выявления уязвимостей и проведения пентестов, чтобы получить более объективное представление о безопасности своей среды.

Стоит использовать оба метода на разных этапах и в разное время.

Наконец, чем больше вы знаете о существующей защите вашей организации и ее надежности, тем больше вы можете сделать для предотвращения хакерских атак и сохранения своего времени, денег и репутации.

Есть какие-нибудь мысли по этому поводу? Дайте нам знать внизу в комментариях или перенесите обсуждение в наш Twitter или Facebook.

Рекомендации редакции:

• Cyberlands.io предлагает надежный API и тестирование на мобильное проникновение компаниям, ориентированным на цифровые технологии
• Эта уязвимость Apple Watch Walkie-Talkie наконец-то устранена
• В Samsung Galaxy 7 есть уязвимость для взлома, но это все равно отличный телефон
• Узнайте, как остановить киберпреступников с помощью этого набора курсов этического взлома за 60 долларов.