Menu

Differenza tra Vulnerability Assessment e Penetration Testing

  • Principale
  • Altro
  • Differenza tra Vulnerability Assessment e Penetration Testing

vulnerability assessment

Prova Il Nostro Strumento Per Eliminare I Problemi

Penetration Testing vs Vulnerability Scanning:

A volte, ho visto tester e imprenditori sbagliarsi nel comprendere l'idea di base alla base del penetration test e della scansione delle vulnerabilità.

Entrambi sono spesso confusi come gli stessi servizi. Quando l'azienda non è in grado di decidere se eseguire un test di penetrazione o un test di vulnerabilità. I test di penetrazione sono uguali ai test di vulnerabilità o sono diversi? Se sono diversi, allora sono correlati? Quale scegliere - Penetration test o Vulnerability test ?

Cercheremo di trovare le risposte a tutte le domande di cui sopra in questo tutorial.

Penetration Test Vs Vulnerability Scan

Cosa imparerai:

introduzione

Per cominciare, vorrei che leggessi cinque frasi:

  • Le banane crescono su un albero.
  • Un essere umano normale usa solo il 10% del suo cervello.
  • Rompere le nocche provoca l'artrite in età avanzata.
  • I pipistrelli sono ciechi.
  • Il test di penetrazione è uguale a quello della scansione delle vulnerabilità.

Riuscite a indovinare una cosa comune tra tutte le affermazioni di cui sopra? Sono tutti miti. Sì, è giusto. Sono davvero tutti miti.

Tuttavia, in questo nostro tutorial, non ci preoccupiamo né delle banane né dei pipistrelli. Tutto ciò che ci interessa è che il test di penetrazione venga confrontato con la scansione delle vulnerabilità. Per saperne di più sul confronto o per dimostrare che l'affermazione è un mito, analizzeremo prima il Penetration Test e la Vulnerability Scan separatamente.

Penetration Testing Intro

Un Penetration test è anche conosciuto come 'Pen Test' in breve. Questo tipo di test viene eseguito su un sistema per trovare un modo per entrare nel sistema. Ciò può esporre i dati importanti memorizzati dal sistema al mondo esterno.

In generale, l'obiettivo del test di penetrazione può essere di Tipo di scatola bianca o tipo di scatola nera .

Test di penetrazione della scatola nera:

In genere, al tester non vengono forniti dettagli del sistema tranne il nome. Questo è molto simile agli hack della vita reale in cui l'hacker non è a conoscenza di nient'altro che il nome dell'applicazione.

Il test della scatola nera replica le condizioni della vita reale e non richiede tempo. Tuttavia, a causa di aree sconosciute relative al codice sorgente e all'infrastruttura, c'è sempre la possibilità di perdere parti del sistema.

Test di penetrazione della scatola bianca:

In questo processo vengono forniti al Tester tutti i dati necessari relativi al sistema che deve essere sottoposto a test di penetrazione.

I dati possono essere l'architettura di rete, le configurazioni di sistema, i codici sorgente, ecc. Questo è un processo più lungo di quello del test con penna tipo Black Box. Questo è un processo completo e ha una copertura più profonda rispetto al tipo di scatola nera.

Il test della penna viene sempre eseguito con l'autorizzazione / richiesta del cliente. Eseguire il test della penna su un sito senza il consenso del proprietario è illegale e può essere definito come pirateria informatica.

Ormai sappiamo cos'è il test di penetrazione ed è tempo di sapere il motivo per cui le organizzazioni lo scelgono. Si dice che sia meglio prevenire che curare. Il test della penna rende un'architettura più forte e resistente agli attacchi.

Introduzione alla scansione delle vulnerabilità

Una scansione delle vulnerabilità viene utilizzata per scoprire le vulnerabilità / debolezza in un sistema. Questa attività viene eseguita eseguendo un'applicazione (chiamata scanner di vulnerabilità) sul computer di destinazione. Queste applicazioni o scanner possono essere eseguiti direttamente sul computer di destinazione o da un percorso di rete.

La posizione di rete entra in scena per le organizzazioni più grandi mentre non è possibile eseguire lo scanner sui computer locali tutto il tempo.

Adesso, Come fai a sapere quale scanner può funzionare per la tua applicazione? La risposta è molto semplice. Cioè, gli scanner delle vulnerabilità utilizzano a malapena i dettagli / parametri del sistema durante la scansione.

Tutto ciò di cui hanno bisogno è l'IP del sistema. Con il solo IP, uno scanner di vulnerabilità può scoprire i potenziali luoghi in cui è possibile eseguire un attacco al sistema.

Ci sono situazioni in cui un'azienda dispone di Intranet e non tutti i computer sono esposti al mondo di Internet. In tal caso, lo scanner delle vulnerabilità deve essere eseguito dall'Intranet, attraverso il quale è possibile rilevare sia le vulnerabilità interne che quelle esterne.

Una volta completato un test / scansione, lo scanner aiuta a ottenere un rapporto che mostra tutte le possibili vulnerabilità. Il report generato contiene vari dati relativi alle vulnerabilità al suo interno.

I dati variano da, le statistiche del server (in base all'indice di vulnerabilità), lo stato di diversi servizi in esecuzione su diversi server, lo stato delle vulnerabilità rilevate in base al loro livello di gravità.

Una volta generato un report, è necessario analizzarlo per scoprire la situazione reale. Non sempre, le vulnerabilità rilevate sono così gravi. Potrebbero esserci casi in cui lo scanner estrarrà il nome solo perché i dati previsti non corrispondono all'output. Ma, dopotutto, potrebbe non essere una vera vulnerabilità.

Questo è il motivo per cui è necessario eseguire ulteriori analisi su un rapporto di scansione delle vulnerabilità per scoprire se la vulnerabilità rilevata è corretta o meno.

Penetration Testing vs Vulnerability Scanning

Ora sappiamo cos'è un processo di Penetration Test e cos'è la scansione delle vulnerabilità.

Ora procedere con uno scontro testa-testa tra i due giganti sarebbe divertente.

Penetration Testing vs Vulnerability Scanning

Esempio:

Entreremo in un esempio di vita reale per capire la differenza tra i due.

Prendiamo il signor X come esempio. Il signor X è uno specialista di rapine. Osserveremo il suo piano per la sua prossima rapina. Sta progettando di rapinare una banca presente nel centro della città.

L'edificio della banca è circondato da una stazione di polizia, una stazione dei vigili del fuoco, un parco pubblico (che rimane chiuso di notte) e uno stagno. L'edificio della banca è un edificio di 20 piani con un eliporto in cima. Prima di rapinare effettivamente la banca, deve trovare i possibili punti di ingresso nell'edificio della banca.

I lati dell'edificio che ha una stazione di polizia e una stazione dei vigili del fuoco sono impossibili da violare. Operano 24 ore su 24, 7 giorni su 7 e chi oserebbe rapinare una banca usando il covo di Cop come punto di ingresso! Ciò lascia Mr. X con altre 3 opzioni. Si, hai capito bene. Ha anche il tetto come punto di ingresso (Ricordi Heath Ledger della trilogia di Batman?).

Il tetto sembra essere una scelta strana qui dato che l'edificio ha solo 20 piani e le possibilità di essere scoperti dalle persone intorno a te sono molto alte. E la Banca è l'unico edificio alto in piedi nell'area. Quindi, questo rende l'ingresso sul tetto un grande NO! Con le due opzioni rimanenti, Mr. X inizia ad analizzare il lago come punto di ingresso.

Il lago può essere una buona modalità di ingresso, ma la visibilità sarebbe una preoccupazione. Come reagirebbe qualcuno se vedesse qualcuno nuotare a mezzanotte, anche quello verso l'edificio della Banca? L'ultima opzione è il parco pubblico.

Analizziamo il parco in dettaglio. Chiude al pubblico dopo le sei di sera. Park ha molti alberi che danno l'ombra necessaria e i supporti per la modalità invisibile. Il parco ha un muro di cinta condiviso con i locali della Banca.

Ora, tutta l'analisi sopra può essere definita come scansione delle vulnerabilità. Uno scanner fa tutte queste cose. Per scoprire una posizione vulnerabile in cui entrare.

Tornando alla nostra storia, supponiamo che il signor X riesca ad entrare in banca attraverso il punto di ingresso del parco pubblico. Cosa fa dopo? Sia che irrompa nel caveau per prendere i contanti o negli armadietti del deposito per ottenere gli oggetti di valore.

Questa parte è il Penetration test. Ottieni l'accesso e cerchi di sfruttare il sistema. Conosci la profondità che puoi raggiungere con questo attacco.

Nota: Nessuna banca è stata rapinata durante la scrittura di questo tutorial. Inoltre, non è consigliabile seguire le orme di Mr.X.

Vi lascio con la tabella di confronto sottostante in modo che possiate ottenere maggiore chiarezza sulla differenza tra i due.

Confronto

La scansione delle vulnerabilità e il test di penetrazione sono correlati tra loro?

Sì, la scansione delle vulnerabilità e il test di penetrazione sono correlati tra loro. Il test di penetrazione dipende dalla scansione delle vulnerabilità.

Per avviare il Penetration Test, viene eseguita una scansione completa delle vulnerabilità in modo che il tester conosca tutte le vulnerabilità presenti nel sistema e quindi le sfrutti.

qual è il miglior spyware per telefoni cellulari

Quindi, con la scansione delle vulnerabilità, conosciamo le possibili vulnerabilità ma queste vulnerabilità non sono state sfruttate fino a questo punto. È un test di penetrazione che conferma fino a che punto è possibile sfruttare la vulnerabilità.

Si intersecano anche tra loro in determinati punti, come mostrato nell'immagine sottostante:

Valutazione delle vulnerabilità e test di penetrazione

Quale scegliere: Pen Test o Scansione Vulnerabilità?

Avendo compreso la differenza tra i due, ora sorge la domanda: quale scegliere?

Bene, l'obiettivo della scansione delle vulnerabilità è scoprire i punti deboli del tuo sistema e risolverli. Considerando che l'obiettivo del test di penetrazione è scoprire se qualcuno può rompere il tuo sistema e, in caso affermativo, quale sarà la profondità dell'attacco e quanti dati significativi possono ottenere.

Insieme, la scansione delle vulnerabilità e il test della penna possono dirti cosa è a rischio e come può essere risolto. L'obiettivo è migliorare la sicurezza complessiva del sistema. Devi scegliere tra i due a seconda della criticità della tua attività. Se fai un test penna, copre anche la scansione delle vulnerabilità.

Tuttavia, il pen test è molto costoso (da $ 4.000 a $ 20.000) e richiede tempo anche rispetto alla scansione delle vulnerabilità. Il motivo è che offre risultati molto accurati e completi ed elimina le vulnerabilità dei falsi positivi.

Nel frattempo, la scansione delle vulnerabilità è molto rapida e molto più economica (quasi $ 100 per IP, all'anno, a seconda del fornitore) rispetto al test penna. Come organizzazione, puoi eseguire la scansione delle vulnerabilità su base mensile, trimestrale o anche settimanale. E opta per il test della penna ogni anno.

Strumenti più popolari

Alcuni degli strumenti comunemente utilizzati per la scansione delle vulnerabilità includono:

  • Nessus
  • Nessuno
  • SANTO
  • OpenVAS, ecc.

Gli strumenti comunemente usati per Pen Test includono:

  • Qualys
  • Impatto fondamentale
  • Metasploit ecc.

I tester di penna scrivono anche il proprio codice di exploit secondo il requisito.

Conclusione

Da questo tutorial, ci rendiamo conto che sia Pen Test che Vulnerability Scan sono due attività completamente diverse che vengono eseguite per rendere l'applicazione più sicura dagli attacchi. Possono anche essere usati insieme se necessario.

Il test di vulnerabilità identifica le possibili scappatoie e il Pen test sfrutta queste scappatoie per scoprire l'entità del danno / furto che può accadere alle informazioni business-critical. Sono fatti per riparare le scappatoie ed evitare potenziali attacchi e violazioni della sicurezza al sistema informativo.

Ulteriori letture

Lettura consigliata

^