Sårbarhedsscanning kontra penetrationstest

Reaktiv sikkerhed reagerer på angreb, efter at de er sket; proaktiv sikkerhed finder og udbedrer svagheder, før angribere kan udnytte dem. To komplementære proaktive praksisser er sårbarhedsskanning og penetrationstest. Begge identificerer sikkerhedssvagheder, men de adskiller sig markant med hensyn til omfang, metode, krav til godkendelse, risikoniveau og det, de leverer til organisationen. Det er vigtigt at forstå disse forskelle for kandidater til Security+ og for at kunne kommunikere med interessenter om, hvad hver aktivitet kan – og ikke kan – fortælle dig om din sikkerhedsstatus.

Sårbarhedsskanning er en automatiseret proces, der kontrollerer systemer i forhold til en database med kendte sårbarheder. Skannere sammenligner versionsnumre, konfigurationsindstillinger og softwaresignaturer med CVE-databaser og leverandøradvarsler for at identificere potentielle svagheder. Skanning er typisk ikke-invasiv – den identificerer, at der sandsynligvis findes en sårbarhed baseret på version eller konfiguration, men forsøger normalt ikke at udnytte den. Skanninger kan køres regelmæssigt (dagligt, ugentligt eller kontinuerligt) og i stor skala på tværs af tusindvis af systemer. De er et compliance-krav under PCI-DSS (kvartalsvise eksterne skanninger udført af en ASV) og mange andre rammeværk.

Penetrationstest (pen-test) er et struktureret, målrettet forsøg på at kompromittere systemer ved hjælp af de samme teknikker, som angribere ville bruge. I modsætning til scanning udnytter en penetrationstest aktivt sårbarheder for at bekræfte, at de er reelle og kan udnyttes — ikke kun teoretisk til stede. En penetrationstester demonstrerer den faktiske påvirkning: Kan vedkommende opnå privilegeret adgang? Kan vedkommende eksfiltrere data? Kan vedkommende bevæge sig lateralt fra ét system til et andet? Penetrationstest giver bevis på, at sårbarheder kan udnyttes, hvilket øger behovet for hurtig afhjælpning, og afslører ofte komplekse angrebsforløb i flere trin, som automatiserede scannere ikke kan identificere.

Penetrationstest uden autorisation er ulovligt — det udgør uautoriseret adgang i henhold til lovgivning som CFAA (Computer Fraud and Abuse Act) i USA. Før en penetrationstest begynder, skal der underskrives et dokument med regler for engagement (RoE), som definerer: omfanget (hvilke systemer, IP-intervaller og domæner), tidsrummet (arbejdstid eller uden for arbejdstid), forbudte handlinger (ingen fysiske angreb og ingen DoS-angreb mod produktionsmiljøet), nødkontakter og autorisationsunderskrifter. Autorisationserklæringer, som penetrationstestteamet bærer med sig, dokumenterer autorisationen, hvis teamet opdages af sikkerhedspersonale. Begynd aldrig at teste uden fuldstændig skriftlig autorisation.

Penetrationstest kategoriseres efter, hvor meget information testeren har om målet. En black box-test giver ingen forhåndsoplysninger — testeren begynder, som en ekstern angriber ville gøre, og bruger OSINT og scanning til at opdage mål. Dette er den mest realistiske tilgang, men den kan overse interne sårbarheder. En white box-test giver fuld information: netværksdiagrammer, kildekode og legitimationsoplysninger — hvilket muliggør grundig, men mindre realistisk test. En gray box-test giver delvise oplysninger (måske en almindelig brugerkonto) og repræsenterer et scenarie med en kompromitteret insider eller stjålne legitimationsoplysninger. De fleste opgaver i den virkelige verden er gray box eller black box.

Penetrationstest tager udgangspunkt i forskellige positioner. En ekstern test simulerer en angriber på internettet uden intern adgang — og tester perimeterforsvar, internetvendte applikationer og e-mailsikkerhed. En intern test simulerer en trusselsaktør, der allerede befinder sig inde på netværket (en kompromitteret medarbejder eller malware, der bevæger sig videre) — og tester kontroller mod lateral bevægelse, sikkerheden i interne applikationer og hærdning af Active Directory. De fleste organisationer har gavn af begge perspektiver. Mange reelle sikkerhedsbrud involverer en ekstern angriber, der opnår indledende adgang og derefter bevæger sig internt, så begge testtyper sammen er mere værdifulde end hver af dem alene.

Sårbarhedsscannere er ikke fejlfri. En falsk positiv opstår, når scanneren rapporterer en sårbarhed, der faktisk ikke findes — måske fordi et versionsnummer ser sårbart ud, selv om programrettelsen er blevet tilbageført til en ældre version. Falske positiver spilder ressourcer til afhjælpning og svækker tilliden til scannerens output. En falsk negativ opstår, når der findes en reel sårbarhed, men scanneren ikke opdager den — måske fordi sårbarheden kræver godkendelse, og scanningen blev udført uden godkendelse, eller fordi sårbarheden er ny og endnu ikke findes i databasen. Scanninger med legitimationsoplysninger reducerer markant antallet af falske positiver og falske negativer sammenlignet med scanninger uden godkendelse.

Moderne sikkerhedsprogrammer behandler sårbarhedshåndtering som en kontinuerlig proces i stedet for en periodisk hændelse. Kontinuerlig scanning opdager nye sårbarheder, efterhånden som de opstår (og nye CVE'er offentliggøres), i stedet for at vente på det næste planlagte scanningsvindue. Livscyklussen for sårbarhedshåndtering omfatter: opdag, prioritér (efter CVSS-score og forretningskontekst), afhjælp (installér en programrettelse, konfigurér eller acceptér), verificér (scan igen for at bekræfte løsningen), og rapportér. Integration med programrettelsesstyring sikrer, at opdagede sårbarheder udløser automatiserede arbejdsgange for installation af programrettelser. SLA'er definerer, hvor hurtigt sårbarheder med forskellige alvorlighedsgrader skal afhjælpes (f.eks. Kritisk: 24 timer, Høj: 7 dage).

En penetrationstest afsluttes med en omfattende rapport, som er den primære leverance. Rapporten indeholder typisk: et ledelsesresumé til ikke-teknisk ledelse (samlet risikovurdering, forretningspåvirkning og vigtigste resultater), et afsnit med tekniske resultater (detaljerede beskrivelser af sårbarheder, skærmbilleder som dokumentation og trin til genskabelse) samt en plan for afhjælpning med prioriterede anbefalinger. Resultater vurderes typisk efter risikoniveau (Kritisk/Høj/Mellem/Lav) ved hjælp af CVSS-scorer plus forretningskontekst. En god rapport fra en penetrationstest gør det muligt for kunden at genskabe og verificere hvert resultat samt forstå præcis, hvilken afhjælpning der kræves.

Programmer med belønning for fejl betaler eksterne sikkerhedsforskere for at finde og ansvarligt offentliggøre sårbarheder i en organisations systemer. Platforme som HackerOne, Bugcrowd og Intigriti forbinder organisationer med tusindvis af sikkerhedsforskere over hele verden. Belønninger for fejl giver kontinuerlig ekstern test i stor skala, hvor der kun betales for validerede resultater. De supplerer intern penetrationstest ved at give forskellige forskerperspektiver og løbende test mellem formelle vurderinger. Kritiske resultater udløser typisk en betaling på 500-50.000 USD eller mere afhængigt af alvorlighedsgrad og program. Organisationer definerer omfang og regler på samme måde som i reglerne for engagement ved en penetrationstest.

Til Security+-eksamen skal du tydeligt forstå de vigtigste forskelle. Sårbarhedsscanning: automatiseret, ikke-destruktiv, bred dækning, identificerer potentielle sårbarheder, bekræfter ikke, om de kan udnyttes, udføres hyppigt eller kontinuerligt og varetages af internt personale. Penetrationstest: manuel (eller delvist automatiseret), kan være forstyrrende, dyb og målrettet dækning, bekræfter faktisk udnyttelighed og påvirkning i den virkelige verden, udføres periodisk (kvartalsvist eller årligt) og kræver typisk specialiseret ekstern ekspertise samt formel autorisation. De to metoder supplerer hinanden — scanning giver bredde, og penetrationstest giver dybde. Et modent sikkerhedsprogram bruger begge regelmæssigt.

I denne lektion har du lært, at sårbarhedsscanning er automatiseret, hyppig og ikke-intrusiv — den identificerer potentielle sårbarheder uden at udnytte dem — mens penetrationstest er manuel, målrettet og aktivt udnytter sårbarheder for at bevise reel påvirkning og angrebsforløb; begge dele kræver korrekt autorisation med dokumenter med regler for engagement, og scanning med legitimationsoplysninger reducerer markant antallet af falske positiver og falske negativer sammenlignet med scanning uden godkendelse. Næste gang gennemgår vi almindelige scanningsværktøjer, herunder Nessus, OpenVAS og Nmap.