Haavoittuvuuden skannaus vs. läpäisytestaus: miten ne eroavat?

Ohjelmiston turvallisuus on elintärkeää. Salli ohjelmistojen pääsy Internetiin, jolloin tietoturvavaatimus kasvaa käsittämättömillä suuruusluokilla.

Ohjelmiston ja sen resurssien onnistunut suojaaminen edellyttää monitahoista lähestymistapaa, mukaan lukien (mutta ei rajoittuen) haavoittuvuuksien skannaukseen ja läpäisytestaukseen. Nämä termit sekoitetaan usein IT-alalla, ja hyvästä syystä.

Päivystystestit ja haavoittuvuustarkistukset sekoittuvat toisiinsa.

Haavoittuvuus arvioi ja skannaa hakujärjestelmistä ja profiileista mitä odotat: haavoittuvuuksia. Kun penetraatiotestaus testaa uhkia, jotka yrittävät aktiivisesti heikentää ympäristöä. Kriittinen ero näiden kahden välillä on se, että haavoittuvuusskannaus voidaan automatisoida, jolloin penetraatiotesti vaatii eritasoista asiantuntemusta.

Kaikki verkot, mittakaavasta riippumatta, ovat mahdollisesti vaarassa joutua uhille. Verkon huolellinen seuranta ja testaus tietoturvaongelmien varalta auttaa poistamaan uhkia ja pienentämään kokonaisriskiä. Verkkosi turvallisuuden uskominen perustuu oletuksiin eikä datapohjaiseen testaukseen, antaa aina väärän turvallisuuden tunteen ja voi johtaa tuhoisiin tuloksiin.

Mikä on haavoittuvuuden tarkistus?

Haavoittuvuustarkistus on termi ohjelmistoille, jotka on suunniteltu arvioimaan muita ohjelmistoja, verkkotoimintoja tai sovelluksia. Tämä haavoittuvuuden testausohjelmisto etsii mahdollisia heikkouksia koodissa tai rakenteessa. Samalla tavalla kuin valmistusinsinööri valvoo tuotteensa rakenteellista eheyttä, haavoittuvuustestaus tekee saman, etsii heikkoja kohtia tai huonoa rakennetta. Tarkistukset tunnistavat alueet, joissa järjestelmä voi olla avoin hyökkäyksille.

Skannauksia on kahdenlaisia: todennettuja ja todentamattomia. Erona on se, että todennetut tarkistukset mahdollistavat suoran verkkoyhteyden käyttämällä etäprotokollia, kuten SSH (Secure Shell) tai Remote Desktop Protocol (RDP). Todentamaton skannaus voi tutkia vain julkisesti näkyviä tietoja, eikä se pysty antamaan yksityiskohtaisia tietoja omaisuudesta. Tämän tyyppistä tarkistusta käyttävät yleensä tietoturva-analyytikot, jotka yrittävät määrittää verkon suojausasennon.

Nykyaikaiset skannausohjelmistot ovat usein saatavilla Software-as-a-Service (SaaS) -muodossa tietyiltä palveluntarjoajilta, jotka rakentavat verkkopohjaisia käyttöliittymäsovelluksia. Näillä sovelluksilla on mahdollisuus tarkistaa asennettuja ohjelmistoja, avata portteja, vahvistaa varmenteita ja paljon muuta.

Skannerit luottavat julkaistuihin ja säännöllisesti päivitettyihin luetteloihin tunnetuista haavoittuvuuksista, jotka ovat saatavilla laajalti käytetyille ohjelmistoille. Haavoittuvuudet eivät pääse listalle, ennen kuin niihin on tehty merkittävä korjaus (joka voi aiheuttaa vaikeuksia nollapäivän tyylihyökkäyksissä). Kun ohjelmisto havaitsee poikkeaman, korjaustiedosto toimitetaan. Ohjelmisto on suunniteltu havaitsemaan ongelmat pyytämällä ohjelmistolta versiotietoja ja tarkkailemalla ohjelmiston vastauksia tiettyihin pyyntöihin.

Haavoittuvuudet luokitellaan tärkeysjärjestyksen mukaan. Kriittiset haavoittuvuudet osoittavat suuren todennäköisyyden, että hyökkääjä voi hyödyntää heikkouksia ja aiheuttaa vahinkoa. Alemman prioriteetin uhat voivat auttaa tunkeutujia keräämään tietoja, mutta eivät suoraan salli tietomurtoja.

Center for Internet Security (CIS) pitää jatkuvaa haavoittuvuusskannausta tehokkaan kyberpuolustuksen tärkeänä vaatimuksena.

Mikä on penetraatiotestaus?

Toisin kuin haavoittuvuustarkistus, penetraatiotestaus (tunnetaan myös nimellä "kynätesti") on valtuutettu hyökkäys, joka on simuloitu tietokonejärjestelmään ja joka on suunniteltu arvioimaan järjestelmän turvallisuutta. Testejä suoritetaan heikkouksien (haavoittuvuuksien) tunnistamiseksi, kuten kyky päästä käsiksi järjestelmän ominaisuuksiin tai tietoihin. Se myös laatii riskiarvioinnin koko järjestelmästä.

Läpäisytesti voi auttaa määrittämään, onko järjestelmä alttiina hyökkäykselle, ovatko nykyiset puolustusjärjestelmät riittävät ja jos eivät, mitkä puolustukset kukistettiin.

Läpäisytestit voivat kohdistaa joko tunnettuihin sovellusten haavoittuvuuksiin tai yleisiin malleihin, joita esiintyy monissa sovelluksissa. Se voi löytää ohjelmistovirheiden lisäksi myös heikkouksia sovelluksessa ja verkkokokoonpanossa.

Läpäisytestauksessa on tyypillisesti viisi vaihetta:

1. Tietustelu - tietojen kerääminen kohdennettavasta järjestelmästä.
2. Skannaus - läpäisytestaustyökalut, joita käytetään parantamaan hyökkääjän tietoja järjestelmästä.
3. Käyttöoikeuden saaminen - Hyökkääjä voi kohdistaa järjestelmän hyväksikäyttöön käyttämällä aiemmin kerättyjä tietoja.
4. Käyttöoikeuden ylläpitäminen - Pyri pysymään kohdeympäristössä kerätäksesi mahdollisimman paljon tietoa.
5. Peittävät jäljet - Hyökkääjän on pyyhittävä järjestelmästä kaikki hyökkäyksen jäljet, mukaan lukien kaikenlaiset kerätyt tiedot tai kirjatut tapahtumat, pysyäkseen nimettömänä.

"Fuzz"-paketit ovat suosittu tekniikka. Nämä ovat oikeutettuja pyyntöjä sovelluksille, joissa yksi tai muutama merkki on muuttunut satunnaisesti. He käyttävät järjestelmän kykyä käsitellä virheellisiä syötteitä puhtaasti.

Kuten haavoittuvuustarkistukset, testit voivat olla joko todennettuja tai todentamattomia. Todennettu testi suoritetaan rekisteröityneenä ja sisäänkirjautuneena käyttäjänä sisäisessä verkossa, kun taas todentamaton tulee ulkoisesta lähteestä, jolla ei ole verkkooikeuksia.

Joissakin tapauksissa testaus ylittää tietojen lähettämisen ja vastaanottamisen ja tutkii organisaation liiketoimintaprosesseja. Jos se kuuluu heille määritetylle alueelle, testaajat voivat lähettää tietojenkalasteluviestejä testatakseen käyttäjien kykyä saada kiinni vilpillisiin pyyntöihin. He saattavat jopa yrittää livahtaa tiloihin testaamaan fyysistä turvallisuutta.

Turvallisuusasiantuntijat luokittelevat kynätestit "valkoiseen laatikkoon" tai "mustaan laatikkoon". ” White box -testissä hyödynnetään mahdollisimman paljon tietoa kohdejärjestelmästä. Tämä sisältää sen käyttämän ohjelmiston, verkkoarkkitehtuurin ja joskus jopa lähdekoodin. Musta laatikko -testi käyttää vain julkisesti saatavilla olevia tietoja.

Valkoisen laatikon testin pitäisi periaatteessa löytää enemmän ongelmia, koska siinä on enemmän tietoa. Läpäisytestaajan on kuitenkin helppo tulla riippuvaiseksi siitä, mitä hän tietää järjestelmästä, eikä hän käytä mielikuvitustaan niin paljon. Mustan laatikon testaajat lähtevät samasta paikasta kuin ulkopuolinen tunkeilija ja joutuvat löytämään heikkouksia ilman apua. He voivat kehittää lähestymistapoja, joita valkoisen laatikon testaajat eivät ajattele. Molemmilla tavoilla on hyvät ja huonot puolensa.

Kynätestit eivät ole yksittäinen tietoturvaratkaisu, vaan osa täydellistä tietoturvatarkastusta. Esimerkiksi PCI-yhteensopivuuden säilyttämiseksi maksukorttialan tietoturvastandardi vaatii säännöllisesti ajoitettuja tietoturvatestauksia ja erityisesti järjestelmämuutosten jälkeen.

Tietoturvatestausraporttien ymmärtäminen

Molempien testaustyyppien tulos on yksityiskohtainen raportti havaituista ongelmista. Haavoittuvuusraportit ovat pitkiä, mutta yksinkertaisia. Raportissa luetellaan kunkin ongelman lähde, vakavuusluokitus, kuvaus ja korjaavat toimet. Tyypillinen ratkaisu on asentaa korjaustiedosto. Jos ohjelmistossa on heikkouksia eikä sen julkaisija enää ylläpidä sitä, se voi olla tarpeen korvata jollain turvallisemmalla. InfoSec-henkilöstön on suoritettava luettelosta yksityiskohtainen lajittelu, joka eliminoi tai lykkää toimenpiteitä, jos haavoittuvuus aiheuttaa vain vähän tai ei ollenkaan riskiä.

Läpäisytestin raportissa luetellaan vähemmän kohteita, mutta niitä ei ole niin yksinkertaista selittää ja korjata. Se kuvaa hyökkäystekniikkaa, joka on usein moniselitteinen. Se selittää mahdolliset vaikutukset. Korjauskeino voi olla yksinkertainen, kuten pääsyn rajoittaminen. Muissa tapauksissa korjauksen keksiminen voi vaatia vakavaa analyysiä. Vahva raportti asettaa tulokset kontekstiin ja antaa yksityiskohtaisia suosituksia korjaamiseksi.

Ero tunkeutumistestauksen ja haavoittuvuuden skannausprosessin välillä

Läpäisytestin suorittamista pidetään haastavampana tai ainakin siihen liittyvänä kuin haavoittuvuustarkistus.

Läpäisytestillä yritetään murtautua turvajärjestelmään. Jos järjestelmässä on riittävä suojaus, tämä laukaisee hälytyksiä. Vaikka järjestelmänvalvojien on tiedettävä ero testin ja todellisen uhan välillä, he eivät voi antaa varoaan uskottavia hyökkäyksiä vastaan, joita saattaa tapahtua samanaikaisesti.

Ihannetapauksessa penetraatiotesti tulisi suorittaa kerran vuodessa, kun taas haavoittuvuustestit tulisi suorittaa jatkuvasti.

Läpäisytesti vaatii enemmän luovuutta kuin haavoittuvuustesti, koska se etsii tapoja hyödyntää tavallista liiketoimintaa. Toimitusjohtaja voi esimerkiksi lähettää salasanansa webmailiin käyttämällä samaa salasanaa kuin sisäisessä LDAP:ssa. Uusien testausstrategioiden kehittämiseksi sinun tulee työskennellä ihmisten kanssa, jotka ovat luovia mutta myös teknisesti kykeneviä suorittamaan hyökkäyksen.

Haavoittuvuustarkistus on olennainen prosessi tieto- ja verkkoturvallisuuden ylläpitämisessä. Jokaiselle äskettäin lisätylle laitteelle tai ohjelmistolle, joka otetaan käyttöön, on suoritettava haavoittuvuustarkistus ja kuukauden kuluessa siitä. On olennaista perustaa perusvarusteet, joita päivitetään ja huolletaan säännöllisesti. Kaikki skannauksen jälkeen löydetyt avoimet portit tai muutokset on tutkittava ja niitä on pidettävä vakavina.

Haavoittuvuuden skannaus ja tunkeutumistestit ovat välttämättömiä

Yksityiskohtaisen ja hyvin suojatun tietoturvatason varmistamiseksi verkossa on suoritettava yksityiskohtaiset toimenpiteet sekä haavoittuvuustarkistukset että tunkeutumistestit. Haavoittuvuuksien etsiminen löytää korjaamattomia ja huonosti ylläpidettyjä ohjelmistoja. Se kehottaa IT-henkilöstöä päivittämään ohjelmiston, jossa on havaittu ongelmia tai mahdollisia heikkouksia. Jos tämä ei ole mahdollista, tiimin on löydettävä ratkaisu tai vaihdettava ohjelmisto.

Skannaus ei löydä kaikkia ongelmia. Varmin tapa päättää, onko järjestelmä turvallinen, on yrittää rikkoa se. Tämä ei löydä vain ohjelmistovikoja, vaan myös epävarmoja yhteyksiä, kokoonpanon heikkouksia ja paljastuneita tietoja.

Yhdessä haavoittuvuusskannaus ja penetraatiotestaus ovat tehokkaita verkon suojaustyökaluja, joita käytetään tietoturvaohjelmien valvontaan ja parantamiseen.