VAPT dan pengujian penetrasi: apa sebenarnya bedanya.
VAPT, vulnerability assessment, penetration test, pentest. Dokumen pengadaan di Asia Tenggara sering memakai istilah-istilah ini secara bergantian, padahal maknanya tidak sama. Berikut perbedaannya, dan cara mengenali mana yang sebenarnya diminta oleh persyaratan Anda.
Tiga istilah, dua kegiatan.
Vulnerability Assessment
Kegiatan yang mengutamakan keluasan. Pemindaian terautentikasi dan tanpa autentikasi, tinjauan konfigurasi, dan analisis versi pada sebanyak mungkin aset, menghasilkan daftar kerentanan yang sudah diperingkat. Hasilnya memberi tahu apa yang kemungkinan bermasalah, pada banyak sistem sekaligus.
Penetration Testing
Kegiatan yang mengutamakan kedalaman. Konsultan mengeksploitasi kerentanan sejauh aman dilakukan, merangkainya, berpindah antarsistem, dan menunjukkan apa yang benar-benar dapat dijangkau penyerang. Hasilnya memberi tahu apa yang pasti bermasalah, dan berapa kerugiannya.
VAPT
Bukan teknik ketiga. VAPT adalah istilah pengadaan untuk memesan keduanya dalam satu pekerjaan — asesmen untuk cakupan, pengujian untuk pembuktian. Sebagian besar pembeli di sektor teratur di kawasan ini menulis persyaratannya seperti ini.
Di mana keduanya berbeda.
Pertanyaan utama
Kerentanan apa saja yang ada di seluruh aset?
Apa yang benar-benar bisa dicapai penyerang?
Cakupan
Luas. Banyak host, aplikasi, atau akun.
Terfokus. Ruang lingkup tertentu, diperiksa secara mendalam.
Metode
Sebagian besar digerakkan perkakas, dengan validasi konsultan untuk menyingkirkan false positive.
Dipimpin konsultan, dengan perkakas sebagai pendukung. Eksploitasi dan perangkaian dilakukan manual.
Bukti yang dihasilkan
Daftar temuan yang diperingkat beserta tingkat keparahan.
Langkah reproduksi, bukti yang terekam, dan jalur dampak yang diperagakan.
Frekuensi umum
Sering. Kerap berkelanjutan atau per kuartal.
Berkala. Umumnya tahunan, dan setelah perubahan signifikan.
Yang tidak bisa dijawabnya
Apakah sebuah temuan benar-benar dapat dieksploitasi di lingkungan Anda.
Apakah kerentanan yang sama juga ada pada sistem di luar ruang lingkup yang disepakati.
Persyaratan Anda mengarah ke yang mana?
Anda butuh cakupan pada aset yang besar
Vulnerability assessment. Kalau pertanyaannya "seberapa terekspos kami di 400 host", kedalaman pada tiga host tidak menjawabnya.
Anda harus membuktikan risiko nyata ke direksi atau regulator
Pengujian penetrasi. Keluaran pemindai yang sekadar diperingkat jarang bertahan menghadapi pertanyaan "tapi apakah ini benar-benar bisa dilakukan?"
Regulator atau dokumen tender Anda menyebut VAPT
Keduanya, dalam satu pekerjaan. Periksa redaksinya: apakah ada frekuensi yang diwajibkan, dan apakah pengujian ulang setelah perbaikan termasuk dalam ruang lingkup.
Anda menguji satu aplikasi baru sebelum rilis
Pengujian penetrasi. Kendalanya bukan cakupan; aplikasi itu sendiri sudah menjadi ruang lingkupnya.
Pertanyaan umum dari calon klien.
VAPT singkatan dari apa?
VAPT adalah singkatan dari vulnerability assessment and penetration testing. Istilah ini dipakai dalam pengadaan untuk memesan kedua kegiatan sekaligus, bukan sebuah teknik pengujian tersendiri.
Apakah VAPT sama dengan pengujian penetrasi?
Tidak. Pengujian penetrasi hanya separuh dari VAPT. Separuh lainnya adalah vulnerability assessment, yang mencakup jauh lebih banyak aset tetapi berhenti sebelum eksploitasi. Tender yang menyebut VAPT umumnya meminta keduanya.
Mana yang sebaiknya dikerjakan lebih dulu?
Umumnya vulnerability assessment, karena kegiatan ini memperlihatkan di mana kerentanan terkonsentrasi sehingga ruang lingkup pengujian penetrasi dapat disusun berdasarkan eksposur nyata, bukan perkiraan. Namun bila yang akan dirilis adalah satu aplikasi baru, pengujian penetrasi saja sering kali sudah tepat.
Seberapa sering VAPT diwajibkan?
Tergantung kerangka acuannya. PCI DSS mewajibkan pengujian penetrasi sekurang-kurangnya setahun sekali dan setelah setiap perubahan signifikan, dengan pengujian segmentasi yang lebih sering bagi penyedia jasa. MAS Technology Risk Management, ketentuan OJK, dan panduan risiko ICT Bank of Thailand masing-masing menetapkan ekspektasinya sendiri. Vulnerability assessment umumnya dijalankan jauh lebih sering daripada pengujian penetrasi.
Uji Pertahanan Anda dengan Pendekatan Adversarial Ofensif
Konsultasikan kebutuhan Pengujian Penetrasi berikutnya dengan konsultan tersertifikasi CREST kami.