Alonso Knight / Reyde (Português)

Uma vulnerabilidade é considerada uma fraqueza que poderia ser usada de alguma forma para comprometer a confidencialidade, integridade ou disponibilidade de um sistema de informação. Em uma avaliação de vulnerabilidade, o objetivo é criar um inventário simples das vulnerabilidades descobertas dentro do meio ambiente na avaliação. Este conceito de ambiente é extremamente importante. Você deve ter certeza de ficar dentro do escopo da rede de clientes e os objetivos necessários. Sair do escopo da avaliação pode causar uma interrupção do serviço, uma lacuna de confiança com o cliente, ou uma ação legal contra o profissional ou o empregador.

Devido à sua simplicidade relativa, um teste de vulnerabilidade é freqüentemente concluído em ambientes mais maduros em uma base regular como parte de demonstrar sua devida diligência. Em muitos casos, uma ferramenta automática como as incluídas nas categorias “Análise de vulnerabilidades” e “aplicativos da Web” no site do Kali Linux e no menu do aplicativo, são usados para descobrir sistemas ao vivo no ambiente na avaliação, identificar atenção dos serviços e listá-las Para descobrir o máximo de informações possível, como software de servidor, versão, plataforma, etc.

Esta informação é verificada por empresas conhecidas de possíveis problemas ou vulnerabilidades. Essas empresas são constituídas de combinações de pontos de dados, que se destinam a representar problemas conhecidos. Vários pontos de dados são usados, porque os pontos mais dados você usam a identificação mais precisa. Há um grande número de pontos de dados existentes, incluindo, mas não limitados a:

Versão do sistema operacional: O software é comum para ser vulnerável sobre uma versão do sistema operacional, mas não para outra. Por causa disso, o scanner tentará determinar o mais precisamente possível, qual versão do sistema operacional está hospedando o aplicativo.

Nível de patch: Muitas vezes os patches para um sistema operacional podem ser publicados sem aumentar as informações da versão, mas isso muda a maneira como uma vulnerabilidade responderá ou mesmo eliminar a vulnerabilidade completamente.

Arquitetura do processador: Muitos aplicativos de software estão disponíveis para várias arquiteturas do processador, como Intel X86, Intel X64, várias versões de braço, ultraparc, etc. Em alguns casos, uma vulnerabilidade só poderia existir em uma arquitetura específica, com a qual saber que essa pequena informação pode ser crítica para uma assinatura precisa.

Versão do software: A versão do software é um dos itens mais básicos necessários para ser capturado para identificar uma vulnerabilidade.

Estes e muitos outros pontos de dados serão usados para constituir uma assinatura como parte de uma varredura de vulnerabilidade. Como esperado, quanto mais pontos de dados correspondem à assinatura será mais precisa. Quando se trata de coincidências de assinatura, você pode ter alguns resultados potenciais diferentes:

Positivos reais: a assinatura coincide e captura uma verdadeira vulnerabilidade. Esses resultados são os necessários para corrigir, porque são elementos maliciosos que podem ser explorados por indivíduos para prejudicar a organização (ou cliente).

falsos positivos: A assinatura coincide, no entanto, o problema detectado não é uma verdadeira vulnerabilidade . Em uma avaliação, estes são freqüentemente considerados ruidosos e podem ser muito frustrantes. Você nunca quer descartar um verdadeiro positivo como falso positivo sem uma validação mais extensa.

Real Negativo: A assinatura não corresponde e não é uma vulnerabilidade. Este é o cenário ideal, verificando a vulnerabilidade não existe.

falso negativo: a assinatura não corresponde, mas é uma vulnerabilidade existente. Tão ruim quanto um falso positivo é um falso negativo é muito pior. Nesse caso, há um problema, mas o scanner não tem indicações de sua existência.

Como você pode imaginar, a precisão das assinaturas é extremamente importante ter resultados precisos. Quanto mais dados, as chances de ter resultados precisos de uma varredura automática com base nas assinaturas são fornecidas, que é porque as varreduras autenticadas são muitas vezes populares.

Com uma autêntica, o software de digitalização usará as credenciais fornecidas para autenticar para isso para avaliar. Isso fornece um nível profundo de visibilidade dentro do meio ambiente em avaliação de que seria possível de outra forma.Por exemplo, uma varredura normal só pode detectar informações sobre o sistema, que pode ser derivada de serviços em atenção e a funcionalidade fornecida. Isso às vezes pode ser bastante informações, mas não pode competir com o nível e profundidade de dados que podem ser obtidos se autenticados para o sistema e verificar exaustivamente todos os softwares instalados, patches aplicados, processos em operação, etc. Essa amplitude de dados é útil para detectar vulnerabilidades, que de outra forma não teria sido descoberta.

Uma avaliação de vulnerabilidade bem feita apresenta um instantâneo de problemas potenciais em uma organização e fornece métricas para medir as alterações no do tempo. Esta é uma avaliação bastante leve, mas, embora muitas organizações realizem regularmente a digitalização automática de programações, para evitar problemas potenciais durante o dia, quando a disponibilidade de serviços e largura de banda são a vulnerabilidade mais crítica.

uma vulnerabilidade A digitalização deve verificar muitos pontos de dados diferentes para obter um resultado preciso. Todas essas diferentes verificações podem criar uma carga no sistema na avaliação, bem como consumir largura de banda. Infelizmente, é difícil saber exatamente quantos recursos serão consumidos, porque isso depende do número de serviços abertos e tipos de verificações que podem ser associados a esses serviços. Este é o custo de fazer uma varredura, ele ocupará recursos do sistema. Ter uma ideia geral dos recursos a serem consumidos e quanto carregar o sistema pode ter é importante quando essas ferramentas são executadas.

Quando uma varredura de vulnerabilidade termina, os problemas descobertos são tipicamente vinculados a identificadores padrão da indústria, como anúncios do número CVE, IDB-ID e provedor. Essas informações, juntamente com a pontuação CVSS de vulnerabilidades, são usadas para determinar a classificação de risco. Juntamente com falsos negativos (e falsos positivos), essas classificações de risco associadas são problemas comuns necessários para considerar ao analisar os resultados da varredura.

Devido a ferramentas automáticas Use um banco de dados de assinatura para detectar vulnerabilidades, qualquer desvio leve da As assinaturas podem alterar os resultados e, provavelmente, a validade da vulnerabilidade percebida. Um falso positivo destaca incorretamente uma vulnerabilidade que não existe, enquanto um falso negativo é efetivamente cego para uma vulnerabilidade e não o denunciou. Por causa disso, um scanner é muitas vezes disse que é tão bom quanto sua base de regras de assinatura. Por isso, muitos provedores fornecem vários conjuntos de assinaturas: um poderia ser livre para usuários domésticos e outro conjunto bastante caro que é mais completo, além de ser geralmente vendido para clientes corporativos.

Outro problema freqüentemente encontrado com As varreduras de vulnerabilidades é a validade das classificações sugeridas do risco. Essas classificações de risco são definidas em bases genéricas, considerando muitos fatores diferentes, como o nível de privilégio, tipo de software e pré ou postar autenticação. Dependendo do ambiente, essas qualificações podem ou não ser aplicáveis, de modo a não ser aceites cegamente. Somente os bem versados nos sistemas podem validar adequadamente a classificação de risco das vulnerabilidades

Embora não haja um acordo universalmente definido sobre pontuações de risco, a publicação especial do NIST 800-30, é recomendada como base para a avaliação de classificações de risco e sua precisão no meio ambiente. O NIST SP 80-30 define o verdadeiro risco de vulnerabilidade descoberta como uma combinação de probabilidade de ocorrência e potencial impacto.

Leave a Comment

O seu endereço de email não será publicado. Campos obrigatórios marcados com *