Menu

Différence entre l'évaluation de la vulnérabilité et les tests de pénétration

  • Principal
  • Autre
  • Différence entre l'évaluation de la vulnérabilité et les tests de pénétration

vulnerability assessment

Essayez Notre Instrument Pour Éliminer Les Problèmes

Test de pénétration et analyse de vulnérabilité:

Parfois, j'ai vu des testeurs et des propriétaires d'entreprise se tromper pour comprendre l'idée de base du test de pénétration et de l'analyse de vulnérabilité.

Les deux sont souvent confondus avec les mêmes services. Lorsque l'entreprise n'est pas en mesure de décider de passer un test de pénétration ou un test de vulnérabilité. Les tests de pénétration sont-ils identiques aux tests de vulnérabilité ou sont-ils différents? S'ils sont différents, sont-ils liés? Lequel choisir - Test de pénétration ou test de vulnérabilité ?

Nous essaierons de trouver les réponses à toutes les questions ci-dessus dans ce tutoriel.

Test de pénétration Vs Vulnerability Scan

Ce que vous apprendrez:

introduction

Pour commencer, j'aimerais que vous lisiez cinq phrases:

  • Les bananes poussent sur un arbre.
  • Un être humain normal n'utilise que 10% de son cerveau.
  • Casser vos articulations provoque de l'arthrite chez les personnes âgées.
  • Les chauves-souris sont aveugles.
  • Le test de pénétration est le même que celui du scan de vulnérabilité.

Pouvez-vous deviner une chose commune parmi toutes les déclarations ci-dessus? Ce sont tous des mythes. Oui c'est vrai. Ce sont tous des mythes.

Cependant, dans notre tutoriel, nous ne nous soucions ni des bananes ni des chauves-souris. Tout ce qui nous importe, c'est que les tests de pénétration soient comparés à l'analyse de vulnérabilité. Pour en savoir plus sur la comparaison ou pour prouver que la déclaration est un mythe, nous analyserons d'abord les tests de pénétration et l'analyse de vulnérabilité séparément.

Introduction aux tests de pénétration

Un test de pénétration est également connu sous le nom de «Pen Test». Ce type de test est effectué sur un système pour trouver un chemin dans le système. Cela peut exposer les données importantes stockées par le système au monde extérieur.

En général, la cible du test d'intrusion peut être de Type de boîte blanche ou type de boîte noire .

Test de pénétration de la boîte noire:

En règle générale, le testeur ne reçoit aucun détail du système à l'exception du nom. Ceci est très similaire aux hacks de la vie réelle où le pirate n'a connaissance d'autre chose que du nom de l'application.

Les tests en boîte noire reproduisent les conditions réelles et ne prennent pas de temps. Cependant, en raison de zones inconnues liées au code source et à l'infrastructure, il est toujours possible de manquer des parties du système.

Test de pénétration de la boîte blanche:

Dans ce processus, toutes les données nécessaires relatives au système qui doit subir un test de pénétration sont fournies au testeur.

Les données peuvent être l'architecture du réseau, les configurations système, les codes sources, etc. Il s'agit d'un processus plus long que celui des tests de type Black Box Pen. Il s'agit d'un processus approfondi et d'une couverture plus profonde par rapport au type boîte noire.

Le test du stylet est toujours effectué avec l'autorisation / la demande du client. Effectuer des tests Pen sur un site sans le consentement du propriétaire est illégal et peut être qualifié de piratage.

À présent, nous savons ce qu’est le test d’intrusion et il est temps de connaître la raison pour laquelle les organisations optent pour ce test. Il est dit qu'il vaut mieux prévenir que guérir. Les tests au stylet rendent une architecture plus forte et résistante aux attaques.

Introduction à l'analyse des vulnérabilités

Une analyse des vulnérabilités est utilisée pour découvrir les vulnérabilités / faiblesses d'un système. Cette tâche est effectuée en exécutant une application (appelée analyse de vulnérabilité) sur l'ordinateur cible. Ces applications ou scanners peuvent être exécutés directement sur l'ordinateur cible ou à partir d'un emplacement réseau.

L'emplacement du réseau entre en jeu pour les grandes organisations alors qu'il n'est pas possible d'exécuter le scanner sur les ordinateurs locaux tout le temps.

À présent, Comment savez-vous quel scanner peut fonctionner pour votre application? La réponse est plutôt simple. Autrement dit, les scanners de vulnérabilité utilisent à peine les détails / paramètres du système lors de l'analyse.

Tout ce dont ils ont besoin est l'adresse IP du système. Avec l'IP seule, un scanner de vulnérabilité peut découvrir les endroits potentiels où une attaque peut être effectuée sur le système.

Il existe des situations dans lesquelles une entreprise dispose d'un intranet et tous les ordinateurs ne sont pas exposés au monde Internet. Dans ce cas, le scanner de vulnérabilités doit être exécuté à partir de l'Intranet par lequel l'analyse des vulnérabilités internes ainsi que des vulnérabilités externes peut être détectée.

Une fois le test / l'analyse terminé, le scanner aide à obtenir un rapport affichant toutes les vulnérabilités possibles. Le rapport généré contient diverses données liées aux vulnérabilités.

Les données vont de, les statistiques du serveur (basées sur l'indice de vulnérabilité), l'état des différents services exécutés sur différents serveurs, l'état des vulnérabilités trouvées en fonction de leur niveau de gravité.

Une fois qu'un rapport est généré, il doit être analysé pour découvrir la situation réelle. Pas tout le temps, les vulnérabilités trouvées sont aussi graves. Il peut y avoir des cas où le scanner extrait le nom simplement parce que les données attendues ne correspondent pas à la sortie. Mais ce n'est peut-être pas une vraie vulnérabilité après tout.

C'est la raison pour laquelle une analyse plus approfondie doit être effectuée sur un rapport d'analyse de vulnérabilité pour déterminer si la vulnérabilité trouvée est correcte ou non.

Test de pénétration et analyse de vulnérabilité

Nous savons maintenant ce qu'est un processus de test de pénétration et ce qu'est l'analyse de vulnérabilité.

Maintenant, procéder à un affrontement tête-tête entre les deux géants serait amusant.

Test de pénétration et analyse de vulnérabilité

Exemple:

Nous entrerons dans un exemple concret pour comprendre la différence entre les deux.

Prenons l'exemple de M. X. M. X est un spécialiste du braquage. Nous observerons son plan pour son prochain braquage. Il envisage de cambrioler une banque présente au milieu de la ville.

Le bâtiment de la Banque est entouré d'un poste de police, d'une caserne de pompiers, d'un parc public (qui reste fermé la nuit) et d'un étang. Le bâtiment de la banque est un bâtiment de 20 étages avec un héliport sur le dessus. Avant de voler la banque, il doit trouver les points d'entrée possibles dans le bâtiment de la Banque.

Les côtés du bâtiment qui a un poste de police et une caserne de pompiers sont impossibles à percer. Ils opèrent 24h / 24 et 7j / 7 et qui oserait voler une banque en utilisant la tanière des flics comme point d'entrée! Cela laisse M. X avec 3 autres options. Oui, c'est bien cela. Il a également le toit comme point d'entrée (Rappelez-vous Heath Ledger de la trilogie Batman?).

Le Rooftop semble être un choix étrange ici car le bâtiment n'a que 20 étages et les chances de se faire prendre par les gens autour de vous sont très élevées. Et, la Banque est le seul immeuble de grande hauteur debout dans la région. Donc, cela fait de l'entrée Roof un grand NON! Avec les deux options restantes, M. X commence à analyser le lac comme point d'entrée.

Le lac peut être un bon mode d'entrée, mais la visibilité serait un problème. Comment réagirait quelqu'un s'il voyait quelqu'un nager à minuit, cela aussi vers le bâtiment de la Banque? La dernière option est le parc public.

Analysons le parc en détail. Il est fermé au public après six heures du soir. Park a beaucoup d'arbres qui donnent l'ombre et les supports nécessaires pour le mode furtif. Le parc a un mur d'enceinte qui est partagé avec les locaux de la Banque.

Maintenant, toute l'analyse ci-dessus peut être considérée comme une analyse de vulnérabilité. Un scanner fait toutes ces choses. Pour découvrir une position vulnérable pour entrer.

Pour en revenir à notre histoire, supposons que M. X réussisse à entrer dans la banque par le point d’entrée du parc public. Que fait-il ensuite? Qu'il s'introduise par effraction dans le coffre-fort pour obtenir de l'argent ou les casiers de dépôt pour récupérer les objets de valeur.

Cette partie est le test de pénétration. Vous obtenez l'accès et essayez d'exploiter le système. Vous apprenez à connaître la profondeur que vous pouvez atteindre avec cette attaque.

Noter: Aucune banque n'a été volée lors de l'écriture de ce tutoriel. Et, il est également déconseillé de suivre les traces de M. X.

Je vous laisse avec le tableau de comparaison ci-dessous afin que vous puissiez obtenir plus de clarté sur la différence entre les deux.

Comparaison

Le scan de vulnérabilité et les tests de pénétration sont-ils liés les uns aux autres?

Oui, l'analyse des vulnérabilités et les tests de pénétration sont liés les uns aux autres. Les tests de pénétration ont une dépendance sur l'analyse de vulnérabilité.

Pour lancer les tests de pénétration, une analyse complète des vulnérabilités est effectuée afin que le testeur apprenne toutes les vulnérabilités présentes dans le système et les exploite.

ouvrir la table de hachage d'adressage c ++

Ainsi, avec l'analyse des vulnérabilités, nous apprenons à connaître les vulnérabilités possibles, mais ces vulnérabilités sont inexploitées jusqu'à présent. Ce sont des tests d'intrusion qui confirment dans quelle mesure la vulnérabilité peut être exploitée.

Ils se croisent également à certains points, comme indiqué dans l'image ci-dessous:

Évaluation de la vulnérabilité et tests de pénétration

Lequel choisir - Pen Test ou Vulnerability Scan?

Ayant compris la différence entre les deux, la question se pose maintenant de savoir lequel choisir?

Eh bien, le but de l'analyse des vulnérabilités est de découvrir les faiblesses de votre système et de les corriger. Alors que le but des tests d'intrusion est de déterminer si quelqu'un peut casser votre système et si oui, quelle sera la profondeur de l'attaque et combien de données significatives peuvent-ils obtenir.

Ensemble, l'analyse de vulnérabilité et le test du stylet peuvent vous dire ce qui est à risque et comment il peut être corrigé. Le but est d'améliorer la sécurité globale de votre système. Vous devez choisir entre les deux en fonction de la criticité de votre entreprise. Si vous optez pour un test de stylet, il couvre également l'analyse des vulnérabilités.

Cependant, le test du stylet est très coûteux (environ 4 000 $ à 20 000 $) et prend également beaucoup de temps par rapport à l'analyse de vulnérabilité. La raison en est qu'il apporte des résultats très précis et approfondis et qu'il élimine les fausses vulnérabilités positives.

Pendant ce temps, l'analyse des vulnérabilités est très rapide et beaucoup moins chère (près de 100 $ par IP, par an, selon le fournisseur) que le test du stylet. En tant qu'organisation, vous pouvez effectuer une analyse des vulnérabilités sur une base mensuelle, trimestrielle ou même hebdomadaire. Et optez pour le test du stylo chaque année.

Outils les plus populaires

Certains des outils couramment utilisés pour l'analyse des vulnérabilités comprennent:

  • Nessus
  • Personne
  • SAINT
  • OpenVAS, etc.

Les outils couramment utilisés pour Pen Test comprennent:

  • Qualys
  • Impact de base
  • Metasploit etc.

Les testeurs de stylos écrivent également leur propre code d'exploitation conformément aux exigences.

Conclusion

À partir de ce didacticiel, nous nous rendons compte que Pen Test et Vulnerability Scan sont deux activités entièrement différentes qui sont effectuées pour rendre l'application plus sûre contre les attaques. Ils peuvent également être utilisés ensemble si nécessaire.

Le test de vulnérabilité identifie les failles possibles et le test Pen exploite ces failles pour découvrir l'étendue des dommages / vols qui peuvent survenir aux informations critiques pour l'entreprise. Ils sont faits pour corriger les failles et éviter les attaques potentielles et les failles de sécurité du système d'information.

Lectures complémentaires

lecture recommandée

^