Pengimbasan Kerentanan berbanding Ujian Penembusan

Keselamatan reaktif bertindak balas terhadap serangan selepas ia berlaku; keselamatan proaktif mencari dan membaiki kelemahan sebelum penyerang dapat mengeksploitasinya. Dua amalan proaktif yang saling melengkapi ialah pengimbasan kerentanan dan ujian penembusan. Kedua-duanya mengenal pasti kelemahan keselamatan, tetapi berbeza dengan ketara dari segi skop, metodologi, keperluan kebenaran, tahap risiko dan hasil yang disampaikan kepada organisasi. Memahami perbezaan ini penting bagi calon Security+ dan ketika berkomunikasi dengan pihak berkepentingan tentang perkara yang boleh — dan tidak boleh — diberitahu oleh setiap aktiviti mengenai kedudukan keselamatan anda.

Pengimbasan kerentanan ialah proses automatik yang menyemak sistem berdasarkan pangkalan data kerentanan yang diketahui. Pengimbas membandingkan nombor versi, tetapan konfigurasi dan tandatangan perisian dengan pangkalan data CVE serta nasihat vendor untuk mengenal pasti kelemahan yang berpotensi. Pengimbasan biasanya tidak mengganggu — ia mengenal pasti bahawa sesuatu kerentanan berkemungkinan wujud berdasarkan versi atau konfigurasi, tetapi secara amnya tidak cuba mengeksploitasinya. Pengimbasan boleh dijalankan secara berkala (setiap hari, mingguan atau berterusan) dan pada skala besar merentas ribuan sistem. Pengimbasan ini merupakan keperluan pematuhan di bawah PCI-DSS (pengimbasan luaran setiap suku tahun oleh ASV) dan banyak rangka kerja lain.

Ujian penembusan (ujian pen) ialah percubaan berstruktur dan berfokuskan matlamat untuk menjejaskan sistem menggunakan teknik yang sama seperti yang akan digunakan oleh penyerang. Berbeza daripada pengimbasan, ujian pen secara aktif mengeksploitasi kerentanan untuk mengesahkan bahawa kerentanan tersebut benar-benar wujud dan boleh dieksploitasi — bukan sekadar wujud secara teori. Penguji pen menunjukkan kesan sebenar: bolehkah mereka memperoleh akses dengan keistimewaan tinggi? Bolehkah mereka mengeksfiltrasi data? Bolehkah mereka bergerak secara lateral dari satu sistem ke sistem yang lain? Ujian pen menyediakan bukti keboleheksploitan yang mendorong keutamaan pemulihan dan sering mendedahkan laluan serangan kompleks berbilang langkah yang tidak dapat dikenal pasti oleh pengimbas automatik.

Ujian penembusan tanpa keizinan adalah menyalahi undang-undang — ia merupakan akses tanpa kebenaran di bawah undang-undang seperti CFAA (Computer Fraud and Abuse Act) di US. Sebelum sebarang ujian pen bermula, dokumen Peraturan Penglibatan (RoE) mesti ditandatangani dan mentakrifkan: skop (sistem, julat IP dan domain yang terlibat), tempoh masa (waktu operasi atau di luar waktu operasi), tindakan yang dilarang (tiada serangan fizikal, tiada DoS terhadap sistem pengeluaran), kenalan kecemasan dan tandatangan keizinan. Surat pelepasan liabiliti yang dibawa oleh pasukan ujian pen membuktikan keizinan jika mereka ditemui oleh kakitangan keselamatan. Jangan sekali-kali memulakan ujian tanpa keizinan bertulis yang lengkap.

Ujian pen dikategorikan berdasarkan jumlah maklumat yang dimiliki oleh penguji tentang sasaran. Ujian kotak hitam tidak menyediakan maklumat terdahulu — penguji bermula seperti penyerang luaran, menggunakan OSINT dan pengimbasan untuk menemui sasaran. Ini paling realistik, tetapi mungkin terlepas kerentanan dalaman. Ujian kotak putih menyediakan maklumat penuh: gambar rajah rangkaian, kod sumber dan kelayakan — membolehkan ujian yang menyeluruh tetapi kurang realistik. Ujian kotak kelabu menyediakan maklumat separa (mungkin akaun pengguna biasa) dan mewakili senario orang dalam yang telah terjejas atau kelayakan yang dicuri. Kebanyakan tugasan dunia sebenar ialah kotak kelabu atau kotak hitam.

Ujian pen menyasarkan sudut pandangan yang berbeza. Ujian luaran mensimulasikan penyerang di internet tanpa akses dalaman — menguji pertahanan perimeter, aplikasi yang menghadap internet dan keselamatan e-mel. Ujian dalaman mensimulasikan pelaku ancaman yang sudah berada dalam rangkaian (pekerja yang akaunnya terjejas atau perisian hasad yang digunakan untuk berpindah) — menguji kawalan pergerakan lateral, keselamatan aplikasi dalaman dan pengukuhan Active Directory. Kebanyakan organisasi mendapat manfaat daripada kedua-dua perspektif. Banyak pencerobohan sebenar melibatkan penyerang luaran yang memperoleh akses awal sebelum bergerak secara dalaman, menjadikan kedua-dua jenis ujian secara bersama lebih bernilai daripada salah satu sahaja.

Pengimbas kerentanan tidak sempurna. Positif palsu berlaku apabila pengimbas melaporkan kerentanan yang sebenarnya tidak wujud — mungkin kerana nombor versi kelihatan rentan sedangkan tampalan telah dipindahkan semula. Positif palsu membazirkan sumber pemulihan dan menghakis kepercayaan terhadap output pengimbas. Negatif palsu berlaku apabila kerentanan sebenar wujud tetapi tidak dikesan oleh pengimbas — mungkin kerana kerentanan itu memerlukan pengesahan dan pengimbasan dilakukan tanpa pengesahan, atau kerana kerentanan itu baharu dan belum terdapat dalam pangkalan data. Pengimbasan dengan kelayakan secara ketara mengurangkan positif palsu dan negatif palsu berbanding pengimbasan tanpa pengesahan.

Program keselamatan moden menganggap pengurusan kerentanan sebagai proses berterusan dan bukannya peristiwa berkala. Pengimbasan berterusan menemui kerentanan baharu apabila kerentanan tersebut muncul (dan apabila CVE baharu diterbitkan), bukannya menunggu tetingkap pengimbasan berjadual yang seterusnya. Kitar hayat pengurusan kerentanan merangkumi: menemui, mengutamakan (berdasarkan skor CVSS dan konteks perniagaan), memulihkan (menampal, mengkonfigurasi atau menerima), mengesahkan (mengimbas semula untuk mengesahkan pembaikan) dan melaporkan. Integrasi pengurusan tampalan memastikan kerentanan yang ditemui mencetuskan aliran kerja penggunaan tampalan automatik. SLA mentakrifkan tempoh pemulihan bagi kerentanan dengan tahap keterukan yang berbeza (contohnya, Critical: 24 jam, High: 7 hari).

Ujian penembusan berakhir dengan laporan menyeluruh yang menjadi hasil utama. Laporan biasanya merangkumi: ringkasan eksekutif untuk kepimpinan bukan teknikal (penarafan risiko keseluruhan, kesan perniagaan dan penemuan utama); bahagian penemuan teknikal (perihalan kerentanan terperinci, tangkapan skrin bukti dan langkah penghasilan semula); serta pelan hala tuju pemulihan dengan cadangan yang diutamakan. Penemuan biasanya dinilai mengikut tahap risiko (Critical/High/Medium/Low) menggunakan skor CVSS berserta konteks perniagaan. Laporan ujian pen yang baik membolehkan pelanggan menghasilkan semula dan mengesahkan setiap penemuan serta memahami dengan tepat pemulihan yang diperlukan.

Program ganjaran pepijat membayar penyelidik keselamatan luaran untuk mencari dan mendedahkan kerentanan dalam sistem organisasi secara bertanggungjawab. Platform seperti HackerOne, Bugcrowd dan Intigriti menghubungkan organisasi dengan ribuan penyelidik keselamatan di seluruh dunia. Ganjaran pepijat menyediakan ujian luaran berterusan pada skala besar, dengan bayaran hanya untuk penemuan yang disahkan. Program ini melengkapi ujian pen dalaman dengan menyediakan perspektif penyelidik yang pelbagai dan ujian berterusan antara penilaian formal. Penemuan Critical biasanya menerima bayaran $500-50,000+ bergantung pada tahap keterukan dan program. Organisasi mentakrifkan skop dan peraturan dengan cara yang serupa dengan Peraturan Penglibatan bagi ujian pen.

Untuk peperiksaan Security+, fahami dengan jelas perbezaan utama. Pengimbasan kerentanan: automatik, tidak merosakkan, liputan luas, mengenal pasti kerentanan berpotensi, tidak mengesahkan keboleheksploitan, kerap/berterusan, dilakukan oleh kakitangan dalaman. Ujian penembusan: manual (atau separa automatik), mungkin mengganggu operasi, liputan mendalam dan disasarkan, mengesahkan keboleheksploitan sebenar serta kesan dunia sebenar, berkala (setiap suku tahun atau setiap tahun), biasanya memerlukan kepakaran luaran khusus dan keizinan formal. Kedua-duanya saling melengkapi — pengimbasan menyediakan keluasan, manakala ujian pen menyediakan kedalaman. Program keselamatan yang matang menggunakan kedua-duanya secara berkala.

Dalam pelajaran ini anda telah mempelajari bahawa: pengimbasan kerentanan adalah automatik, kerap dan tidak mengganggu — mengenal pasti kerentanan berpotensi tanpa mengeksploitasinya — manakala ujian penembusan adalah manual, berfokuskan matlamat dan secara aktif mengeksploitasi kerentanan untuk membuktikan kesan serta laluan serangan sebenar; kedua-duanya memerlukan keizinan yang sewajarnya melalui dokumen Peraturan Penglibatan; dan pengimbasan dengan kelayakan mengurangkan positif palsu dan negatif palsu dengan ketara berbanding pengimbasan tanpa pengesahan. Seterusnya kita akan meneroka alat pengimbasan lazim termasuk Nessus, OpenVAS dan Nmap.