Vulnerability Assessment ຫຼື Penetration Test: ຄວນເຮັດອັນໃດກ່ອນ

ພວກເຮົາເຄີຍເຫັນ "ລາຍງານ Penetration Test" 200 ໜ້າ ທີ່ທັງໝົດແມ່ນຜົນ Export ຈາກເຄື່ອງມືສະແກນ ທີ່ບໍ່ມີໃຜກວດ, ບໍ່ມີການຈັດລຳດັບ ແລະ ບໍ່ມີຄຳອະທິບາຍວ່າຫຍັງສຳຄັນສຳລັບທຸລະກິດ. ອົງກອນຈ່າຍເງິນຄ່າ Pentest ແຕ່ໄດ້ VA ຄຸນນະພາບຕ່ຳ. ກ່ອນຈ້າງໃຜ ໃຫ້ເຂົ້າໃຈວ່າສອງຢ່າງນີ້ຕອບຄຳຖາມຕ່າງກັນ.

ສອງຄຳຖາມ

Vulnerability Assessment (VA) ຕອບວ່າ: ມີຈຸດອ່ອນຫຍັງແດ່ ຢູ່ໃສ? ໃຊ້ເຄື່ອງມືສະແກນທຸກ IP ແລະ ລະບົບໃນຂອບເຂດ ເພື່ອຊອກຊ່ອງໂຫວ່ທີ່ຮູ້ຈັກ (CVE), ການຕັ້ງຄ່າຜິດ ແລະ Software ທີ່ໝົດອາຍຸ, ແລ້ວຜູ້ຊ່ຽວຊານກວດສອບຜົນເພື່ອຕັດ False Positive ອອກ.

Penetration Test ຕອບວ່າ: ຜູ້ໂຈມຕີທີ່ມີຄວາມສາມາດ ໄປໄດ້ໄກປານໃດ? ຜູ້ທົດສອບໂຈມຕີແທ້ ພາຍໃຕ້ການອະນຸຍາດເປັນລາຍລັກອັກສອນ, ເຊື່ອມຈຸດອ່ອນນ້ອຍໆເຂົ້າກັນ (ເຊັ່ນ ລະຫັດ Default ໃນກ້ອງ + Network ທີ່ບໍ່ແຍກ + ບັນຊີ Service ທີ່ມີສິດເກີນ) ເພື່ອພິສູດວ່າໄປເຖິງຂໍ້ມູນສຳຄັນໄດ້ແທ້.

ເປັນຫຍັງຄວນເລີ່ມຈາກ VA

ຖ້າ VA ພົບ Firmware Firewall ທີ່ມີຊ່ອງໂຫວ່ຮ້າຍແຮງ, RDP ເປີດສູ່ອິນເຕີເນັດ ແລະ NVR ທີ່ຍັງໃຊ້ admin/12345, ການຈ້າງ Pentester ມາຊອກສິ່ງດຽວກັນເປັນການເສຍເງິນ. ເຂົາຈະເຂົ້າມາໄດ້ໃນມື້ທຳອິດ ແລະ ທ່ານຈະບໍ່ໄດ້ຮຽນຮູ້ຫຍັງທີ່ເຄື່ອງສະແກນບອກບໍ່ໄດ້.

ລຳດັບທີ່ພວກເຮົາແນະນຳສຳລັບອົງກອນສ່ວນຫຼາຍ:

1. VA ພາຍນອກ (ທຸກ IP ສາທາລະນະ) ແລະ ພາຍໃນ.
2. ແກ້ Critical ແລະ High.
3. ສະແກນຊ້ຳເພື່ອຢືນຢັນ.
4. ເຮັດ VA ເປັນປະຈຳ ແລະ ຕິດຕາມແນວໂນ້ມ.
5. ເມື່ອພື້ນຖານແໜ້ນແລ້ວ ຈຶ່ງຈ້າງ Pentest. ເວລານັ້ນ Pentest ຈະພົບສິ່ງທີ່ສະແກນບໍ່ເຫັນ: ຂໍ້ຜິດພາດທາງ Logic ໃນແອັບ, ສິດທີ່ຕັ້ງຜິດໃນ Active Directory ແລະ ເສັ້ນທາງທີ່ເຊື່ອມຫຼາຍຈຸດອ່ອນເຂົ້າກັນ.

ປະເພດ Pentest

• External: ຈາກອິນເຕີເນັດ, ເປົ້າໝາຍແມ່ນ Firewall, VPN, ເວັບໄຊ, Mail Server.
• Internal: ສົມມຸດວ່າຜູ້ໂຈມຕີມີເຄື່ອງໜຶ່ງໃນ Network ແລ້ວ (ເຊັ່ນ Laptop ພະນັກງານທີ່ຕິດມັນແວ). ສຳລັບ Ransomware ນີ້ມັກເປັນການທົດສອບທີ່ໃຫ້ຂໍ້ມູນຫຼາຍທີ່ສຸດ.
• Web Application / API: ອີງຕາມ OWASP; ສຳຄັນສຳລັບທະນາຄານ ແລະ ທຸລະກິດທີ່ມີແອັບໃຫ້ລູກຄ້າ.
• Wireless: Wi-Fi ພະນັກງານ ແລະ ແຂກ; ແຂກເຂົ້າເຖິງ Network ພາຍໃນໄດ້ບໍ?
• Social Engineering: Phishing ຫຼື ການເຂົ້າອາຄານ.

ຂໍ້ມູນທີ່ໃຫ້ຜູ້ທົດສອບ: Black-box (ບໍ່ຮູ້ຫຍັງ), Grey-box (ບັນຊີຜູ້ໃຊ້ທົ່ວໄປ ແລະ ແຜນຜັງບາງສ່ວນ), White-box (ເອກະສານ ແລະ Source Code). ສຳລັບງົບປະມານທີ່ຈຳກັດ Grey-box ໃຫ້ຜົນດີທີ່ສຸດ ເພາະຜູ້ທົດສອບບໍ່ເສຍມື້ທີ່ຈ່າຍເງິນໄປກັບການເດົາສິ່ງທີ່ທ່ານບອກໄດ້.

ກ່ອນເລີ່ມ

1. ຂອບເຂດເປັນລາຍລັກອັກສອນ: IP, Domain, ແອັບ, ແລະ ສິ່ງທີ່ຫ້າມແຕະ. ໃນໂຮງງານ ແລະ ບໍ່ແຮ່ ລະບົບຄວບຄຸມການຜະລິດ (PLC, SCADA) ມັກຢູ່ໃນລາຍການຫ້າມ ຫຼື ທົດສອບແບບ Passive ເທົ່ານັ້ນ ເພາະການສະແກນແບບປົກກະຕິສາມາດເຮັດໃຫ້ອຸປະກອນເກົ່າຄ້າງໄດ້.
2. ໜັງສືອະນຸຍາດ ລົງນາມໂດຍຜູ້ມີອຳນາດ. ຖ້າລະບົບຢູ່ກັບຜູ້ໃຫ້ບໍລິການ Cloud ຫຼື Hosting ກວດນະໂຍບາຍຂອງເຂົາກ່ອນ.
3. ເວລາ ແລະ ຜູ້ຕິດຕໍ່ສຸກເສີນ ທັງສອງຝ່າຍ. ຖ້າລະບົບລົ້ມລະຫວ່າງທົດສອບ ໃຜຢຸດ ແລະ ໃຜແກ້?
4. Backup ລະບົບສຳຄັນກ່ອນ.
5. ສັນຍາຮັກສາຄວາມລັບ ແລະ ການລຶບຂໍ້ມູນທີ່ຜູ້ທົດສອບອາດເຫັນ ຫຼື ເກັບໄປ.

ຂໍ້ມູນທີ່ຄວນສົ່ງໃຫ້ຜູ້ໃຫ້ບໍລິການ ເພື່ອຂໍໃບສະເໜີລາຄາ

ຄຳຂໍທີ່ຊັດເຈນ ເຮັດໃຫ້ໄດ້ໃບສະເໜີລາຄາທີ່ທຽບກັນໄດ້, ແທນທີ່ຈະໄດ້ຂໍ້ສະເໜີສາມສະບັບທີ່ວາງທຽບກັນບໍ່ໄດ້. ໃຫ້ລະບຸ:

• ຈຳນວນ IP ສາທາລະນະ ແລະ Domain, ແລະ ໃຜເປັນຜູ້ Host ແຕ່ລະລາຍການ
• ຈຳນວນໂດຍປະມານຂອງ Server ພາຍໃນ, PC, ອຸປະກອນເຄືອຂ່າຍ ແລະ ກ້ອງ, ແຍກຕາມສະຖານທີ່
• Web Application ແລະ API ທີ່ຢູ່ໃນຂອບເຂດ, ແລະ ແຕ່ລະອັນມີບົດບາດຜູ້ໃຊ້ຈັກແບບ
• ຕ້ອງການທົດສອບແບບ Black-box, Grey-box ຫຼື White-box
• ລະບົບທີ່ຫ້າມແຕະ ແລະ ຊ່ວງເວລາທີ່ອະນຸຍາດໃຫ້ທົດສອບ
• ຕ້ອງການໃຫ້ລວມການທົດສອບຊ້ຳຫຼັງແກ້ໄຂ ຫຼື ບໍ່
• ໃຜເປັນຜູ້ຮັບລາຍງານ ແລະ ບົດສະຫຼຸບຄວນເປັນພາສາຫຍັງ

ຜູ້ໃຫ້ບໍລິການທີ່ເຫັນລາຍການນີ້ແລ້ວ ຍັງບໍ່ຖາມຫຍັງເພີ່ມເລີຍ ມີແນວໂນ້ມຈະພຽງແລ່ນ Scanner ແລ້ວພິມຜົນອອກມາ.

ລາຍງານທີ່ດີ ແລະ ສິ່ງທີ່ຕ້ອງເຮັດຫຼັງໄດ້ຮັບ

ລາຍງານທີ່ດີມີ: ບົດສະຫຼຸບສອງໜ້າສຳລັບຜູ້ບໍລິຫານ, ແຕ່ລະຂໍ້ພົບມີຫຼັກຖານ, ຜົນກະທົບຕໍ່ທຸລະກິດ, ລະດັບຄວາມຮຸນແຮງ ແລະ ວິທີແກ້ທີ່ລະອຽດພໍໃຫ້ທີມ IT ເຮັດຕາມໄດ້. ຖ້າລາຍງານບອກແຕ່ "Update to latest version" ສຳລັບທຸກຂໍ້ ນັ້ນແມ່ນຜົນສະແກນ.

ກຳນົດເປົ້າໝາຍເວລາແກ້ ແລະ ຕິດຕາມ:

ຄະແນນ CVSS ບອກຄວາມຮຸນແຮງທາງເຕັກນິກ ບໍ່ແມ່ນຄວາມສ່ຽງຂອງທ່ານ. ຈັດລຳດັບໃຫ້ຊ່ອງໂຫວ່ທີ່ຢູ່ໃນລະບົບທີ່ເປີດສູ່ອິນເຕີເນັດ ແລະ ຊ່ອງໂຫວ່ທີ່ມີລາຍງານວ່າກຳລັງຖືກໃຊ້ໂຈມຕີແທ້ (ເຊັ່ນ ຢູ່ໃນລາຍການ CISA KEV) ກ່ອນ, ເຖິງວ່າຄະແນນຈະຕ່ຳກວ່າຂໍ້ອື່ນ. ແລ້ວ ທົດສອບຊ້ຳ ເພື່ອຢືນຢັນ.

ຕົວຢ່າງການຈັດລຳດັບ: ຫ້າຂໍ້ຈາກການສະແກນເທື່ອທຳອິດ

ນີ້ແມ່ນວິທີທີ່ພວກເຮົາຈະຈັດລຳດັບຜົນທີ່ພົບເລື້ອຍ ຈາກການສະແກນພາຍນອກ ແລະ ພາຍໃນເທື່ອທຳອິດ. ຕົວເລກເປັນຕົວຢ່າງ, ບໍ່ໄດ້ມາຈາກລູກຄ້າແທ້.

ສັງເກດວ່າຄະແນນ CVSS ສູງສຸດບໍ່ໄດ້ມາກ່ອນໂດຍອັດຕະໂນມັດ, ແລະ ສອງໃນສາມອັນດັບທຳອິດບໍ່ມີຄະແນນ CVSS ເລີຍ. Scanner ລາຍງານ CVSS 3.1 ແລະ ໃຊ້ CVSS 4.0 ຫຼາຍຂຶ້ນເລື້ອຍໆ, ສ່ວນ EPSS ຂອງ FIRST ໃຫ້ຄ່າຄວາມເປັນໄປໄດ້ທີ່ຊ່ອງໂຫວ່ຈະຖືກໂຈມຕີໃນໄວໆນີ້. ໃຊ້ທັງສອງຢ່າງຄູ່ກັບລາຍການ CISA KEV ແລະ ຄວາມຮູ້ຂອງທ່ານເອງວ່າຫຍັງເປີດສູ່ພາຍນອກຢູ່.

ສະແກນແບບມີບັນຊີ (Authenticated) ພົບຫຼາຍກວ່າຫຼາຍ

ການສະແກນໂດຍບໍ່ມີ Credential ເຫັນພຽງສິ່ງທີ່ຄົນແປກໜ້າໃນເຄືອຂ່າຍເຫັນ ຄືພອດທີ່ເປີດ ແລະ Banner. ຖ້າໃຫ້ Scanner ມີບັນຊີແບບອ່ານຢ່າງດຽວ ຢູ່ເຄື່ອງ Windows ແລະ Linux, ມັນຈະສະແດງ Patch ທີ່ຂາດ, ການຕັ້ງຄ່າໃນເຄື່ອງທີ່ອ່ອນ ແລະ ຊອບແວທີ່ລ້າສະໄໝໄດ້ຄົບກວ່າຫຼາຍ. ສຳລັບ VA ພາຍໃນ, ການສະແກນແບບມີບັນຊີແມ່ນທາງເລືອກປົກກະຕິ. ສ້າງບັນຊີສະເພາະສຳລັບວຽກນີ້, ຈຳກັດວ່າເຂົ້າໄດ້ຈາກບ່ອນໃດ ແລະ ປິດບັນຊີໄວ້ລະຫວ່າງຮອບສະແກນ.

ອຸປະກອນທີ່ມັກຖືກລືມ

ການສະແກນມັກລວມແຕ່ Server ແລະ PC. ຈຸດອ່ອນທີ່ເຮົາພົບເລື້ອຍຢູ່ບ່ອນອື່ນ: ກ້ອງ CCTV ແລະ NVR, ເຄື່ອງພິມ, UPS ແລະ PDU ທີ່ມີ Network Card, ເຄື່ອງ Scan ນິ້ວມື, Controller ຂອງ Wi-Fi ແລະ ໜ້າ Admin ຂອງ Switch. ອຸປະກອນເຫຼົ່ານີ້ສ່ວນຫຼາຍບໍ່ເຄີຍອັບເດດ Firmware ຕັ້ງແຕ່ມື້ຕິດຕັ້ງ.

ເລືອກຜູ້ໃຫ້ບໍລິການ

• ຂໍ ຕົວຢ່າງລາຍງານ ທີ່ລຶບຂໍ້ມູນລູກຄ້າອອກແລ້ວ. ນີ້ບອກໄດ້ຫຼາຍກວ່າໃບສະເໜີທຸກໜ້າ.
• ຖາມ ວິທີການ: ອີງຕາມມາດຕະຖານໃດ (OWASP, PTES), ເວລາໃດເປັນງານມື ແລະ ເວລາໃດເປັນເຄື່ອງມື.
• ຖາມວ່າ ໃຜເປັນຜູ້ທົດສອບແທ້, ຄຸນສົມບັດ ແລະ ປະສົບການກັບລະບົບຄ້າຍກັບຂອງທ່ານ.
• ທົດສອບຊ້ຳ ລວມຢູ່ໃນລາຄາບໍ່.
• ຂໍ້ມູນ: ຖືກເກັບໄວ້ໃສ ແລະ ຖືກລຶບເມື່ອໃດ.

ສິ່ງທີ່ແຕກຕ່າງໃນສະພາບຂອງລາວ

• ຢືນຢັນ IP ສາທາລະນະກັບ ISP. ຫຼາຍຫ້ອງການຢູ່ຫຼັງ Router ທີ່ ISP ດູແລ, ບາງເທື່ອເປັນ IP ແບບ Dynamic ຫຼື ໃຊ້ຮ່ວມກັນ. ການສະແກນ IP ທີ່ດຽວນີ້ເປັນຂອງຄົນອື່ນ ແມ່ນຮັບບໍ່ໄດ້, ສະນັ້ນ ຕ້ອງຂໍລາຍການປັດຈຸບັນເປັນລາຍລັກອັກສອນ.
• ລະບົບທີ່ຝາກໄວ້ບ່ອນອື່ນ. ເວັບໄຊ ແລະ ອີເມວ ມັກຢູ່ກັບບໍລິສັດ Hosting ໃນໄທ, ສິງກະໂປ ຫຼື ໄກກວ່ານັ້ນ. ຕ້ອງໄດ້ຮັບອະນຸຍາດເປັນລາຍລັກອັກສອນຈາກຜູ້ໃຫ້ບໍລິການກ່ອນທົດສອບ.
• ຈັງຫວະເວລາ. ຫຼີກລ່ຽງຊ່ວງປິດບັນຊີທ້າຍເດືອນຂອງທະນາຄານ ແລະ ພະແນກບັນຊີ, ແລະ ຊ່ວງຜະລິດເລັ່ງດ່ວນຂອງໂຮງງານ ແລະ ບໍ່ແຮ່. ການສະແກນພາຍໃນອາດເຮັດໃຫ້ Switch ແລະ ເຄື່ອງພິມລຸ້ນເກົ່າຊ້າລົງ, ໃຫ້ເລີ່ມນອກເວລາວຽກ.
• ພາສາ. ບົດສະຫຼຸບສຳລັບຜູ້ບໍລິຫານ ຄວນອ່ານໄດ້ເປັນພາສາລາວ ຫຼື ໄທ, ສ່ວນລາຍລະອຽດທາງເຕັກນິກເປັນພາສາອັງກິດສຳລັບທີມ IT ໄດ້.
• ການປ່ຽນຄົນ. ຂໍ້ທີ່ພົບມັກຄ້າງ ເພາະຄົນທີ່ຮັບລາຍງານລາອອກໄປແລ້ວ. ມອບແຕ່ລະຂໍ້ໃຫ້ຕຳແໜ່ງ ບໍ່ແມ່ນໃຫ້ຊື່ຄົນ, ແລະ ເກັບຕາຕະລາງຕິດຕາມໄວ້ກັບຜູ້ບໍລິຫານ IT.

ສົ່ງລາຍການ IP ສາທາລະນະມາໃຫ້ພວກເຮົາ

ຈຸດເລີ່ມທີ່ງ່າຍທີ່ສຸດແມ່ນ VA ພາຍນອກ: ທ່ານສົ່ງລາຍການ IP ສາທາລະນະ ແລະ Domain ພ້ອມໜັງສືອະນຸຍາດ, ພວກເຮົາສະແກນ, ກວດສອບຜົນດ້ວຍຄົນ ແລະ ສົ່ງລາຍການສິ່ງທີ່ຕ້ອງແກ້ກ່ອນ ຈັດລຳດັບຕາມຄວາມສ່ຽງແທ້ ບໍ່ແມ່ນແຕ່ຄະແນນ CVSS.