Тестування на проникнення проти автоматизованого сканування
Тестування на проникнення проти автоматизованого сканування — тема, яка спливає доволі часто.
Іноді бізнес, що прагне посилити свою безпеку, вважає їх рівнозначними, але це далеко від істини.
Багато хто вважає, що автоматизованого сканування їхніх активів достатньо, щоб виконати вимоги стандартів. Стандарти, як-от ISO27001, PCI-DSS та HIPAA, розділяють їх на окремі категорії.
Ці стандарти розмежовують тестування на проникнення й автоматизоване сканування так, що для виконання вимог потрібні обидва.
Автоматизоване сканування мережі та веб-застосунків дає користувачеві розуміння вразливостей, яким він піддається.
Тестування на проникнення, натомість, проводить кваліфікований фахівець. Зазвичай із зовнішньої команди, він шукає вразливості та слабкі місця, які не здатні виявити інструменти автоматизованого сканування.
Фахівець із тестування на проникнення може використовувати у своїй повсякденній роботі програмне забезпечення, як-от Metasploit. Це не слід плутати із запуском автоматизованого тесту на проникнення.
Епоха аутсорсингу послуг безпеки
Нині ми бачимо безліч компаній, що пропонують послуги тестування на проникнення. Потрібно бути обережними з тим, кому ви довіряєте цю роботу.
Були повідомлення про фахівців із тестування на проникнення, які просто запускають автоматизовані сканування інфраструктури та веб-застосунків. Вони формують автоматизований звіт, стверджуючи при цьому, що провели повноцінне тестування на проникнення.
Тестування на проникнення має охоплювати аналіз слабких місць у соціальній інженерії та вад бізнес-логіки, які автоматизовані сканери не здатні виявити. Крім того, фахівці шукають вразливості нульового дня, що не входять до сфери дії автоматизованих сканерів.
Отже, якщо тестування на проникнення робить більше, ніж автоматизоване сканування, чому б нам не використовувати лише фахівців із тестування на проникнення?
Тестування на проникнення доповнює автоматизоване сканування.
Сканери здатні виявляти вразливості набагато швидше, ніж ручне тестування на проникнення. Вони звертають увагу на інші речі, ніж фахівець із тестування на проникнення.
Тестування на проникнення — це не автоматизований процес, а радше трудомістка робота, яку неможливо виконувати цілодобово. Тоді як сканер можна залишити працювати безперервно, шукаючи вразливості.
Тестування на проникнення зазвичай є дорогим заходом, який проводять за потреби.
У чому перевага автоматизованого сканування?
Автоматизоване сканування — це саме те, що випливає з назви. Це автоматизований процес, який не потребує значних людських зусиль і працює у фоновому режимі, поки ви продовжуєте свою роботу.
Сканери розпізнають структуру мереж і веб-застосунків, водночас складаючи карту розташування вразливостей.
Цей процес іноді називають автоматизованим тестуванням на проникнення, і він має бути базовим рівнем для будь-якої організації, що прагне захистити свої активи.
Перший крок автоматизованого сканування — дати нам уявлення про нашу поверхню атаки.
Сфера дії сканерів вразливостей залежить від інструмента, який ви використовуєте. Насправді вам слід використовувати інструмент, що виявляє вразливості в різних сегментах організації.
Ми маємо проводити безперервне сканування веб-застосунків і мереж, а також перевіряти неправильні конфігурації хмарних сервісів.
Хороший інструмент також надаватиме певну форму управління вразливостями, щоб ви могли підтвердити, що саме було усунено.
Вам також потрібно розуміти оцінку ризиків виявлених вразливостей, а також наслідки в разі їх експлуатації.
Як часто слід проводити сканування?
У стандартах немає чіткої настанови, окрім вимоги періодично проводити сканування вразливостей веб-активів і мережевої інфраструктури.
Є два напрями тестування на вразливості: один — ручний, інший — автоматизований.
Ми знали людей, які купують сканери лише для того, щоб раз на рік провести сканування задля відповідності вимогам.
Проте, якщо ви хочете підтримувати безпеку, ми рекомендуємо проводити безперервне сканування мережевих і веб-активів, щоб мати цілком актуальне уявлення про стан вашої кібербезпеки.
Інтеграція сканувань вразливостей у ваші робочі процеси
Найпростіший спосіб безперервно моніторити вразливості — по-справжньому автоматизувати процес, інтегрувавши його у ваші робочі процеси.
Для веб-застосунків це означає інтеграцію сканера у ваше середовище CI/CD та запуск сканувань на певних етапах конвеєра.
Після кожної зміни коду, коли код розгортається у продакшн, має запускатися сканування.
Хороші інструменти робитимуть це у фоновому режимі та надсилатимуть сповіщення електронною поштою відповідальній особі, навіть непомітно для неї.
Щойно вразливості усунуто, інструмент має провести нове сканування, щоб підтвердити виправлення та сформувати новий звіт.
Код не слід розгортати у продакшн, доки всі вразливості не буде усунено або позначено в інструменті як проігноровані чи хибнопозитивні.
Сканування мережі слід інтегрувати у ваші робочі процеси та зробити його безперервним, щоб ви мали повне уявлення про стан вашої кібербезпеки.
Залучення третіх сторін для моніторингу вразливостей
Багато компаній не мають навичок для самостійного управління вразливостями та їх оцінки, тому передають це на аутсорсинг стороннім компаніям, як-от MSP та MSSP.
MSP можуть виконувати частину, пов’язану з моніторингом, і надавати вам звіти за потреби, щоб ви розуміли рівень своєї безпеки.
MSSP часто надають послуги тестування на проникнення на додаток до автоматизованого сканування, що дорожче, ніж проведення автоматизованого сканування.
Якщо ви занепокоєні станом своєї кібербезпеки й відчуваєте, що вам бракує навичок, щоб це виправити, ми можемо звести вас з одним із наших MSP, які використовують ResilientX для управління станом кібербезпеки своїх клієнтів.
