Оценката на уязвимости открива известни слабости, валидира съществените констатации и приоритизира корекциите според експозиция, експлоатируемост и бизнес въздействие. Подходяща е за организации, които се нуждаят от надеждна техническа базова оценка, периодична проверка или по-широко покритие от това, което тест за проникване може да осигури за същия период.
Целта е да се заменят неприоритетизирани констатации с актуален поглед върху експлоатируемата експозиция и отговорните корекции.
Обхватът се определя съвместно с вас преди началото на работата. Според целта, средата и разрешения достъп ангажиментът може да включва:
Съгласуваме собствеността върху активите, прозорците за сканиране, идентификационните данни, изключенията и оперативните предпазни мерки.
Използваме подходящи автентикирани и неавтентикирани методи, за да подобрим покритието.
Преглеждаме високорисковите резултати, отстраняваме очевидните фалшиви положителни резултати и потвърждаваме засегнатите активи.
Отчитаме експлоатируемост, експозиция, бизнес критичност, компенсиращи контроли и наличието на корекции.
Предоставяме базова оценка и, където е договорено, подкрепяме последващо валидиране или периодична оценка.
Всичко, което предаваме, е насочено както към ръководството, така и към хората, които ще работят по него. Според обхвата резултатите може да включват:
Собствеността върху активите, качеството на данните и критериите за приоритизиране се съгласуват преди анализа. Констатациите се валидират, групират се по първопричина и се свързват с отговорниците за корекциите, така че резултатът да не се превърне в неуправляем списък от уязвимости.
Ангажиментът може да използва CVSS в съчетание с контекстуални рискови фактори, CISA Known Exploited Vulnerabilities, където е приложимо, насоки на CIS и на производители, приложими клиентски политики. Позоваването на дадена рамка описва как структурираме работата; само по себе си то не представлява сертификация, акредитация или регулаторно решение.
Графикът се определя след съгласуване на обхвата и зависи от размера на средата и наличието на доказателства и заинтересовани страни.
Оценката на уязвимости не е същото като тест за проникване. Тя основно идентифицира известни слабости и видими конфигурационни проблеми; не демонстрира автоматично пълни вериги за атака и не отпада нуждата от ръчно тестване.
Обсъдете оценката на уязвимости с нас. Кратка среща за определяне на обхвата потвърждава целта, границите, доказателствата, модела на предоставяне и резултатите, преди да изготвим предложение.
Обхватът се определя съвместно с вас преди началото на работата. Типични области включват външни и вътрешни мрежови активи, сървъри, работни станции и разпространени операционни системи, уеб услуги, бази данни и инфраструктурни приложения, където се поддържат, и автентикирано и неавтентикирано сканиране. Изключенията, необходимият достъп, вашите отговорности и критериите за приемане са изложени в предложението.
Резултатите зависят от договорената цел и може да включват обобщение на активите и покритието, валидиран регистър на уязвимостите, управленски преглед на риска и технически констатации със засегнатите активи и доказателства. Всяка значима констатация е обвързана с доказателства, бизнес въздействие, приоритет и ясен отговорник за следващата стъпка.
Управлението на експозицията идентифицира, валидира и приоритизира слабости в определена среда. Тестът за проникване е отделна разрешена дейност, която прави контролирана експлоатация, за да демонстрира реалистични вериги за атака.
Приоритетът трябва да отразява експлоатируемост, критичност на активите, експозиция, активност на заплахите, ефективност на контролите, бизнес въздействие и зависимости при корекциите - не само оценки за тежест.
Графикът се определя след съгласуване на обхвата и зависи от размера на средата и наличието на доказателства и заинтересовани страни.
Тези услуги отговарят на свързани, но различни въпроси. Определянето на обхвата установява дали оценката на уязвимости, управлението на външната атакуема повърхност или координирана програма е най-малкият полезен подход без дублиране на работата.
Оценката на уязвимости не е същото като тест за проникване. Тя основно идентифицира известни слабости и видими конфигурационни проблеми; не демонстрира автоматично пълни вериги за атака и не отпада нуждата от ръчно тестване.
