Sken zranitelností, nebo penetrační test?

V čem se ty dvě věci liší?

V tom, co hledají. Sken porovnává vaše systémy, zařízení, aplikace i služby s databázemi známých zranitelností, takže hledá to, co už někdo popsal. Penetrační test je proti tomu ruční i automatizovaná práce na konkrétní aplikaci, která zkouší, co se s ní dá provést, a najde i chyby, které v žádné databázi nejsou, protože vznikly až ve vaší logice.

Z toho plyne i druhý rozdíl: sken jde do šířky a opakuje se, test jde do hloubky a dělá se cíleně. Nejsou to tedy dvě úrovně téhož, kde by dražší nahradilo levnější. Jsou to dvě různé otázky.

Co najde sken a co mu unikne?

Najde neaktualizované systémy, známé chyby v komponentách a služby vystavené ven, o kterých často nikdo ve firmě neví. Nálezy dostanou skóre CVSS (otevře se v novém okně) a prioritu, takže se opravuje podle závažnosti a ne podle toho, co je zrovna po ruce. Databází známých zranitelností je CVE (otevře se v novém okně), nástrojem třeba Greenbone Vulnerability Manager, a pro pohled zvenku Shodan, který ukáže, co je z internetu vidět.

Co mu unikne, je všechno, co není chybou komponenty, ale chybou vaší aplikace. Že se objednávka cizího zákazníka zobrazí po změně čísla v adrese, že se platba dá potvrdit dvakrát nebo že se administrátorská funkce zavolá přímo, aniž by se kdo ptal na roli. Skener tyhle věci nevidí, protože z jeho pohledu aplikace odpovídá správně.

Co dělá tester, co skener neumí?

Zkouší aplikaci tak, jak by to udělal útočník, a řídí se přitom metodikou, aby se na nic nezapomnělo: OWASP Top 10 (otevře se v novém okně) a OWASP Testing Guide u webových aplikací, MASVS (otevře se v novém okně) u mobilních. Testuje se autentizace, autorizace, validace vstupů, logika aplikace a ochrana dat, a to včetně útoků typu SQL injection, XSS, CSRF, IDOR, SSRF a RCE.

Výstupem není seznam portů, ale zpráva, která nálezy kategorizuje podle rizika. A protože oprava může zranitelnost odstranit jen zdánlivě, dělá se po ní retest. To je věc, která se u skenu neřeší: tam se prostě spustí další běh.

Jak často se dělá které?

Sken má smysl jako pravidelný režim, ne jako jednorázová akce: u provozního prostředí se doporučuje měsíčně, externí skeny se dají automatizovat týdně a ad hoc se pouští po větších změnách. Důvod je prostý: zranitelnost ve vašem systému může vzniknout, aniž byste cokoli udělali. Stačí, že ji někdo objeví v komponentě, kterou používáte.

Penetrační test se naopak váže na událost. Nová aplikace, zásadní změna, nová integrace nebo systém, který nově pracuje s penězi či osobními údaji. Testovat každý měsíc totéž nemá smysl, pokud se nic nezměnilo.

Co si u testu ohlídat v zadání?

Rozsah, protože ten rozhoduje o ceně i o tom, co se vůbec může najít. Test jedné veřejné aplikace neřekne nic o vnitřní síti a test bez přihlašovacích údajů neřekne nic o tom, co může udělat přihlášený uživatel s cizími daty. Obojí je legitimní zadání, jen se nesmí zaměnit za výrok o bezpečnosti firmy jako celku.

Druhá věc je, co má být ve zprávě: kromě nálezů a jejich závažnosti i postup, jak se k nim tester dostal. Bez něj vývojáři opravují popis, ne chybu, a nikdo neověří, že oprava zabrala. Proto se po opravách dělá retest a proto má smysl domluvit ho dřív, než test začne.

Čím začít?

Skenem, a to ze dvou důvodů. Je levnější, takže se dá rozjet hned, a hlavně vám řekne, jak velký je vlastně problém: kolik systémů firma provozuje, kolik z nich nikdo neaktualizuje a co je z internetu vidět. Teprve nad tím se dá rozhodnout, která aplikace si zaslouží test, protože testovat všechno nikdo neplatí.

Obojí je zároveň dobrý podklad pro řízení rizik, které po firmách v regulovaných službách chce zákon o kybernetické bezpečnosti; jestli se vás týká a v jakém režimu, rozebírá samostatný článek. Skenování i testy dodává Securent a stojí v kategorii Kyberbezpečnost vedle ICT služeb.