Sårbarhetsskanning kontra penetrationstestning

Reaktiv säkerhet reagerar på attacker efter att de har inträffat, medan proaktiv säkerhet hittar och åtgärdar svagheter innan angripare kan utnyttja dem. Två kompletterande proaktiva metoder är sårbarhetsskanning och penetrationstestning. Båda identifierar säkerhetssvagheter, men de skiljer sig avsevärt när det gäller omfattning, metodik, krav på auktorisering, risknivå och vad de levererar till organisationen. Att förstå dessa skillnader är viktigt för Security+-kandidater och för att kunna kommunicera med intressenter om vad varje aktivitet kan – och inte kan – säga om Er säkerhetsnivå.

Sårbarhetsskanning är en automatiserad process som kontrollerar system mot en databas med kända sårbarheter. Skannrar jämför versionsnummer, konfigurationsinställningar och programvarusignaturer med CVE-databaser och leverantörers säkerhetsmeddelanden för att identifiera potentiella svagheter. Skanning är vanligtvis icke-intrusiv – den identifierar att en sårbarhet sannolikt finns baserat på version eller konfiguration, men försöker normalt inte utnyttja den. Skanningar kan köras regelbundet (dagligen, veckovis eller kontinuerligt) och i stor skala på tusentals system. De är ett efterlevnadskrav enligt PCI-DSS (kvartalsvisa externa skanningar utförda av en ASV) och många andra ramverk.

Penetrationstestning (pen test) är ett strukturerat, målinriktat försök att kompromettera system med samma tekniker som angripare skulle använda. Till skillnad från skanning utnyttjar penetrationstestning aktivt sårbarheter för att bekräfta att de är verkliga och möjliga att utnyttja – inte bara teoretiskt närvarande. En penetrationstestare visar den faktiska påverkan: går det att få privilegierad åtkomst? Går det att exfiltrera data? Går det att förflytta sig lateralt från ett system till ett annat? Penetrationstestning ger bevis på att sårbarheter kan utnyttjas, vilket ökar brådskan i åtgärdsarbetet och avslöjar ofta komplexa attackvägar i flera steg som automatiserade skannrar inte kan identifiera.

Penetrationstestning utan behörighet är olaglig – det utgör obehörig åtkomst enligt lagar som CFAA (Computer Fraud and Abuse Act) i USA. Innan ett penetrationstest påbörjas måste ett dokument med Rules of Engagement (RoE) undertecknas. Det ska definiera testets omfattning (vilka system, IP-intervall och domäner), tidsfönstret (kontorstid eller utanför kontorstid), förbjudna åtgärder (inga fysiska angrepp och ingen DoS mot produktionsmiljöer), nödkontakter och underskrifter som bekräftar behörigheten. Get-out-of-jail-brev som penetrationstestteamet bär med sig visar att testet är auktoriserat om teamet upptäcks av säkerhetspersonal. Påbörja aldrig testning utan fullständig skriftlig behörighet.

Penetrationstester kategoriseras efter hur mycket information testaren har om målet. Vid ett black box-test finns ingen information i förväg – testaren börjar som en extern angripare skulle göra och använder OSINT och skanning för att upptäcka mål. Detta är mest realistiskt, men interna sårbarheter kan missas. Vid ett white box-test finns fullständig information: nätverksdiagram, källkod och autentiseringsuppgifter, vilket möjliggör grundlig men mindre realistisk testning. Vid ett gray box-test finns delvis information (kanske ett vanligt användarkonto), vilket motsvarar ett scenario med en komprometterad insider eller stulna autentiseringsuppgifter. De flesta tester i verkligheten är gray box- eller black box-tester.

Penetrationstester utgår från olika perspektiv. Ett externt test simulerar en angripare på internet utan intern åtkomst och testar perimeterskydd, internetexponerade applikationer och e-postsäkerhet. Ett internt test simulerar en hotaktör som redan befinner sig i nätverket (en komprometterad anställd eller en pivotering via skadlig kod) och testar skydd mot lateral förflyttning, säkerheten i interna applikationer och härdning av Active Directory. De flesta organisationer har nytta av båda perspektiven. Många verkliga dataintrång inleds med att en extern angripare får initial åtkomst och därefter förflyttar sig internt, vilket gör de båda testtyperna tillsammans mer värdefulla än var och en för sig.

Sårbarhetsskannrar är inte perfekta. Ett falskt positivt resultat innebär att skannern rapporterar en sårbarhet som faktiskt inte finns – kanske för att ett versionsnummer ser sårbart ut trots att korrigeringen har backporterats. Falska positiva resultat slösar med resurser för åtgärder och minskar förtroendet för skannerns resultat. Ett falskt negativt resultat innebär att det finns en verklig sårbarhet som skannern missar – kanske för att sårbarheten kräver autentisering och skanningen gjordes utan autentisering, eller för att sårbarheten är ny och ännu inte finns i databasen. Skanningar med autentiseringsuppgifter minskar falska positiva och falska negativa resultat avsevärt jämfört med skanningar utan autentisering.

Moderna säkerhetsprogram betraktar sårbarhetshantering som en kontinuerlig process i stället för en återkommande enstaka aktivitet. Kontinuerlig skanning upptäcker nya sårbarheter när de uppstår (och när nya CVE:er publiceras) i stället för att vänta på nästa schemalagda skanningsfönster. Livscykeln för sårbarhetshantering omfattar: upptäcka, prioritera (utifrån CVSS-poäng och verksamhetskontext), åtgärda (installera korrigering, konfigurera eller acceptera), verifiera (skanna igen för att bekräfta korrigeringen) och rapportera. Integrering med patchhantering säkerställer att upptäckta sårbarheter utlöser automatiserade arbetsflöden för distribution av korrigeringar. SLA:er anger hur snabbt sårbarheter med olika allvarlighetsgrad måste åtgärdas (t.ex. Kritisk: 24 timmar, Hög: 7 dagar).

Ett penetrationstest avslutas med en omfattande rapport som är den huvudsakliga leveransen. Rapporten innehåller vanligtvis: en sammanfattning för ledningen för icke-tekniska beslutsfattare (övergripande riskbedömning, verksamhetspåverkan och viktiga fynd); ett avsnitt med tekniska fynd (detaljerade beskrivningar av sårbarheter, skärmbilder som bevis och steg för att återskapa problemet); samt en åtgärdsplan med prioriterade rekommendationer. Fynd klassificeras vanligtvis efter risknivå (Kritisk/Hög/Medel/Låg) med hjälp av CVSS-poäng och verksamhetskontext. En bra rapport från ett penetrationstest gör det möjligt för kunden att återskapa och verifiera varje fynd samt att förstå exakt vilka åtgärder som krävs.

Bug bounty-program betalar externa säkerhetsforskare för att hitta och ansvarsfullt rapportera sårbarheter i en organisations system. Plattformar som HackerOne, Bugcrowd och Intigriti kopplar samman organisationer med tusentals säkerhetsforskare över hela världen. Bug bounties ger kontinuerlig extern testning i stor skala, där betalning endast sker för validerade fynd. De kompletterar intern penetrationstestning genom att ge perspektiv från olika forskare och möjliggöra kontinuerlig testning mellan formella bedömningar. Kritiska fynd ger vanligtvis 500–50 000 USD eller mer beroende på allvarlighetsgrad och program. Organisationer definierar omfattning och regler på liknande sätt som i ett penetrationstests Rules of Engagement.

Inför Security+-provet behöver Ni tydligt förstå de viktigaste skillnaderna. Sårbarhetsskanning: automatiserad, icke-destruktiv, bred täckning, identifierar potentiella sårbarheter, bekräftar inte möjligheten att utnyttja dem, genomförs ofta eller kontinuerligt och utförs av intern personal. Penetrationstestning: manuell (eller semiautomatiserad), kan vara störande, djup och riktad täckning, bekräftar faktisk möjlighet att utnyttja sårbarheter och verklig påverkan, genomförs periodiskt (kvartalsvis eller årligen) och kräver vanligtvis specialiserad extern kompetens samt formell behörighet. De kompletterar varandra – skanning ger bredd och penetrationstestning ger djup. Ett moget säkerhetsprogram använder båda regelbundet.

I den här lektionen har Ni lärt Er att sårbarhetsskanning är automatiserad, frekvent och icke-intrusiv – den identifierar potentiella sårbarheter utan att utnyttja dem – medan penetrationstestning är manuell, målinriktad och aktivt utnyttjar sårbarheter för att bevisa verklig påverkan och attackvägar. Båda kräver korrekt behörighet med dokumenterade Rules of Engagement, och skanning med autentiseringsuppgifter minskar falska positiva och falska negativa resultat avsevärt jämfört med skanning utan autentisering. Härnäst går vi igenom vanliga skanningsverktyg, däribland Nessus, OpenVAS och Nmap.