„Am făcut o scanare de securitate, deci suntem acoperiți.” Este una dintre cele mai frecvente confuzii. Scanarea automată și testul de penetrare sunt utile amândouă, dar răspund la întrebări diferite.
Scanarea automată
Un scanner de vulnerabilități compară ce găsește pe servere și în aplicații cu o bază de date de probleme cunoscute: versiuni vechi, configurări nesigure, certificate expirate, porturi deschise.
- Avantaje: rapidă, ieftină, poate rula săptămânal sau chiar zilnic.
- Limite: nu înțelege aplicația. Produce alerte false și ratează problemele care țin de logica specifică a aplicației.
Testul de penetrare
Un test de penetrare este făcut de un om care încearcă efectiv să exploateze sistemul, combinând mai multe slăbiciuni mici într-un atac real.
- Avantaje: găsește probleme pe care niciun scanner nu le vede, de exemplu un client care poate accesa comenzile altui client schimbând un număr din adresă. Confirmă ce este cu adevărat exploatabil.
- Limite: durează mai mult, costă mai mult și descrie situația de la un anumit moment.
Un exemplu
Un scanner poate raporta că serverul trimite o versiune de software în răspuns și că lipsește un header de securitate. Un test de penetrare poate descoperi că funcția de resetare a parolei permite preluarea oricărui cont. Prima constatare este o îmbunătățire. A doua este un incident care așteaptă să se întâmple.
Cum le combinați
- scanare automată, periodic: ține sub control problemele cunoscute între teste;
- test de penetrare, cel puțin anual și după schimbări mari în aplicație sau infrastructură;
- retestare după remedieri, ca să confirmați că problemele grave au fost închise.
Dacă un furnizor vă oferă un „pentest” livrat în câteva ore, cu un raport generat automat, întrebați ce parte a fost verificată manual.