تست نفوذ (VA+PT)

ارزیابی آسیب‌پذیری یک اپلیکیشن وب را بر پایه‌ی OWASP WSTG با بهره‌برداری کنترل‌شده از آنچه یافته می‌شود ترکیب می‌کند. ارزیابی، ضعف‌ها را شناسایی می‌کند؛ بهره‌برداری آن‌ها را اثبات می‌کند و اثر واقعی‌شان را می‌سنجد، از جمله این‌که چگونه چند مسئله به یک حمله‌ی بزرگ‌تر زنجیر می‌شوند. هر یافته اثبات می‌شود، با CVSS رتبه می‌گیرد و با یک رفع نوشته می‌شود.

ارزیابی آسیب‌پذیری ضعف‌ها را شناسایی و رتبه‌بندی می‌کند؛ تست نفوذ فراتر می‌رود و آن‌ها را بهره‌برداری می‌کند تا اثبات کند واقعی‌اند و نشان دهد مهاجم چه به دست می‌آورد. اگر می‌خواهید میزان مواجهه‌تان را بدانید و رفع‌ها را اولویت دهید، شاید ارزیابی کافی باشد؛ اگر به اثباتِ اثر و درکِ زنجیره‌های حمله نیاز دارید، VA+PT پاسخ کامل‌تر است.

بهره‌برداری تنها زیر قواعد درگیری‌ای اجرا می‌شود که پیشاپیش با شما توافق شده، و غیرمخرب است: دسترسی و اثر را اثبات می‌کنیم بی‌آن‌که به داده آسیب بزنیم یا سرویس را مختل کنیم. هر چیزی که بتواند خطر داشته باشد، پیش از تلاش بحث و تأیید می‌شود.

دست‌کم نشانی هدف و قواعد درگیری. حساب‌های آزمایشی برای هر نقش می‌گذارند مجوزدهی و ترفیع امتیاز را بیازماییم، همان‌جا که یافته‌های پرپیامد معمولاً هستند. برای یک تست white-box از مستندات و در جای مربوط از کد منبع هم بهره می‌گیریم تا از آنچه نمای بیرونی می‌تواند، ژرف‌تر برسیم.

هر سه. black-box یک مهاجم بیرونی و بی‌اعتبارنامه را تقلید می‌کند، grey-box از حساب‌های کاربری و دانش جزئی کار می‌کند، و white-box مستندات و کد منبع را می‌افزاید. grey-box برای اپلیکیشن‌های وب گزینه‌ی رایج است چون یک مهاجمِ واردشده را بازتاب می‌دهد و مجوزدهی را کامل پوشش می‌دهد؛ حالت را با مدل تهدید شما هماهنگ می‌کنیم.

یک محیط staging که آینه‌ی production باشد برای بهره‌برداری امن‌ترین است، تا اثباتِ اثر نتواند بر داده یا کاربران واقعی تأثیر بگذارد. آنجا که تست ناگزیر روی production اجرا شود، نخست بر مرزهای غیرمخرب و زمان‌بندی توافق می‌کنیم و در همان‌ها می‌مانیم.

هر یافته با CVSS نمره می‌گیرد و در کنار اثر واقعی‌اش بر کسب‌وکار ارائه می‌شود، و یک زنجیره‌ی مسائل بر پایه‌ی آنچه زنجیره به دست می‌آورد رتبه می‌گیرد، نه بر پایه‌ی سست‌ترین حلقه‌اش. همین جفت‌کردن می‌گذارد به ترتیبی رفع کنید که بیشترین ریسک را زودتر کم می‌کند.

بله. تست مجدد پس از رفع بخشی از کار است: تأیید می‌کنیم که هر رفع واقعاً مسئله را می‌بندد و مسئله‌ی تازه‌ای نگشوده است، و گزارشی به‌روزشده دریافت می‌کنید که وضعیت رفع‌شده را بازتاب می‌دهد.