การประเมินช่องโหว่เครือข่าย
การประเมินช่องโหว่ของเครือข่ายที่ครอบคลุม พร้อมการคัดกรองและจัดลำดับความสำคัญโดยผู้เชี่ยวชาญ
Network Vulnerability Assessment คือเครื่องมือสำหรับมองภาพกว้างของ Infrastructure Security โดยสร้างความครอบคลุมทั่วทั้งสภาพแวดล้อมผ่านการสแกนทั้งแบบ Authenticated และ Unauthenticated แล้วเพิ่มการคัดกรองโดยที่ปรึกษาเพื่อยืนยันผล ตีความความสามารถในการโจมตี และจัดลำดับการแก้ไข
ในขณะที่ Penetration Testing คือการหาคำตอบว่า "ช่องโหว่นี้สามารถถูกโจมตีได้จริงไหม และจะส่งผลกระทบอย่างไร" การประเมินช่องโหว่ (Vulnerability Assessment) จะเป็นการตอบคำถามว่า "เรามีช่องโหว่ที่ทราบอยู่แล้วตรงไหนบ้าง และช่องโหว่ไหนที่สำคัญที่สุด" องค์กรส่วนใหญ่ที่อยู่ภายใต้การกำกับดูแลมักจะทำการประเมินช่องโหว่ด้วยความถี่ที่สูงกว่า (เช่น รายเดือนหรือรายไตรมาส) และทำ Penetration Testing ด้วยความถี่ที่ต่ำกว่า (เช่น รายปีหรือหลังจากมีการเปลี่ยนแปลงระบบครั้งใหญ่)
ความเสี่ยงที่ต้องพิจารณา
การสแกนช่วยเห็นสิ่งที่ขยายตามขนาด
การประเมินช่องโหว่คือวิธีที่ช่วยให้คุณเห็นภาพรวมความเสี่ยงจาก CVE ที่ทราบอยู่แล้วทั่วทั้งองค์กรอย่างต่อเนื่อง หาก Penetration Testing บ่งบอกถึงความลึก การประเมินช่องโหว่ก็บ่งบอกถึงความกว้าง
การคัดกรองโดยที่ปรึกษาคือจุดที่แตกต่าง
ผลลัพธ์ดิบจากระบบสแกนเป็นเพียง Noise คุณค่าที่แท้จริงอยู่ที่การ Triage ไม่ว่าจะเป็นการตรวจสอบความถูกต้องของสิ่งที่พบ การแยกช่องโหว่ที่โจมตีได้จริงออกจากช่องโหว่เชิงทฤษฎี และการจัดลำดับว่าสิ่งใดควรใช้เวลาแก้ไขก่อน
สิ่งที่เราทดสอบ
Scan coverage
- Network devices
- Servers and endpoints
- การตั้งค่าที่ไม่ปลอดภัย
- Missing patches
- ปัญหา Software
- ช่องว่างของ Security Protocol
ผลลัพธ์
- การระบุช่องโหว่
- การคัดกรองโดยที่ปรึกษาและการจัดลำดับตามความสามารถในการโจมตี
- การวิเคราะห์ความเสี่ยงพร้อมคะแนน CVSS
- ตรวจสอบ Compliance เทียบกับ CIS / PCI / ISO
- คำแนะนำการแก้ไขที่จัดลำดับความสำคัญแล้ว
แนวทางการทำงานที่มีโครงสร้างชัดเจน ขับเคลื่อนด้วยข้อมูลเชิงลึกในทุกการทดสอบ
ทุกโครงการดำเนินตามแนวทางที่มีระเบียบวินัยเดียวกันผ่านแพลตฟอร์ม Velocity เพื่อให้คุณภาพ การติดตามตรวจสอบ และการรายงานมีมาตรฐานเดียวกันในทุกทีม
การกำหนดขอบเขต
กำหนดสินทรัพย์ สภาพแวดล้อม ข้อกำหนดในการทดสอบ และเกณฑ์การยอมรับร่วมกับผู้เกี่ยวข้องด้านเทคนิคและความปลอดภัย
การดำเนินการ
การทดสอบแบบ Manual และด้วยเครื่องมือโดยที่ปรึกษาที่ได้รับการรับรอง CREST พร้อมเก็บหลักฐานในทุกขั้นตอน
การตรวจสอบความถูกต้อง
ทุกการค้นพบจะถูกทำซ้ำ ประเมินระดับความเสี่ยงด้วย CVSS และยืนยันโดยที่ปรึกษาท่านที่สองก่อนรายงานผล
การรายงาน
รายงานที่ลงนามด้วยรหัส พร้อมการอ้างอิง Test Case การจัดระดับความรุนแรง ขั้นตอนการทำซ้ำ และแนวทางแก้ไข
สรุปผลและการทดสอบซ้ำ
การประชุมสรุปผลกับผู้เกี่ยวข้อง การช่วยจัดลำดับความสำคัญ และการทดสอบซ้ำหลังการแก้ไข
อ้างอิงมาตรฐานสากลที่ได้รับการยอมรับ
คำถามจากผู้สนใจใช้บริการ
ควรสแกนบ่อยแค่ไหน?
มาตรฐาน PCI DSS กำหนดให้สแกนจากภายนอกโดย ASV (Approved Scanning Vendor) เป็นประจำทุกไตรมาสและเมื่อมีการเปลี่ยนแปลงสำคัญ องค์กรภายใต้การกำกับดูแลส่วนใหญ่สแกนภายนอกเป็นรายเดือน สแกนภายในเป็นรายไตรมาส ควบคู่กับการประเมินเชิงลึกโดยที่ปรึกษาเป็นประจำทุกปี
การสแกนจะกระทบ Production หรือไม่?
โดยปกติไม่กระทบเมื่อใช้ระดับความเข้มมาตรฐาน เราตกลงช่วงเวลาสแกนและรายการยกเว้นล่วงหน้า และหลีกเลี่ยงอุปกรณ์ที่ทราบว่าเปราะบาง เว้นแต่ว่าถูกระบุให้อยู่ในขอบเขตอย่างชัดเจน
ทดสอบการป้องกันของท่านกับผู้เชี่ยวชาญด้านการรักษาความปลอดภัยเชิงรุก
ปรึกษาที่ปรึกษาที่ได้รับการรับรอง CREST เกี่ยวกับการทดสอบ Penetration Testing ครั้งถัดไปของท่าน