การตรวจสอบการกำหนดค่าความปลอดภัย
การตรวจสอบการกำหนดค่าของระบบและอุปกรณ์เครือข่าย เทียบกับมาตรฐาน CIS Benchmark และแนวทางของผู้ผลิต
Configuration Review ลงลึกกว่าการสแกนช่องโหว่ โดยเปรียบเทียบการตั้งค่าที่ใช้งานจริงของอุปกรณ์และแพลตฟอร์มกับ Hardening Baseline ที่กำหนดไว้ทีละรายการ หาก Scanner บอกว่า “คุณมีช่องโหว่” Configuration Review จะบอกว่า “Control นี้ควรเปิดใช้งาน แต่ตอนนี้ยังปิดอยู่”
การทบทวนโดยทั่วไปครอบคลุมสินทรัพย์หลายประเภทผสมกัน ไม่ว่าจะเป็นเซิร์ฟเวอร์ Windows และ Linux อุปกรณ์เครือข่าย Hypervisor ฐานข้อมูล และแพลตฟอร์ม Endpoint Security โดยสุ่มตัวอย่างทั่วทั้งองค์กร ผลที่พบจะเชื่อมโยงกับ CIS Benchmarks หรือมาตรฐาน Hardening ภายในของคุณ พร้อมคำแนะนำการแก้ไขที่ออกแบบตามรูปแบบการตั้งค่าของแต่ละแพลตฟอร์ม
ความเสี่ยงที่ต้องพิจารณา
Hardening จะเสื่อมประสิทธิภาพลงหากไม่มีการวัดผล
Configuration Drift คือการสึกกร่อนอย่างช้า ๆ ที่เกิดขึ้นระหว่างรอบ Audit หากไม่มีการ Review เป็นระยะ Hardened Build เมื่อสองปีก่อนอาจไม่สะท้อนสภาพ Production จริงในปัจจุบัน
ผู้ตรวจสอบต้องการหลักฐานที่สอดคล้องกับ CIS มากขึ้น
หลักฐานที่สอดคล้องกับ CIS Benchmarks กำลังกลายเป็นเกณฑ์มาตรฐานโดยพฤตินัยที่ผู้ตรวจสอบและลูกค้าคาดหวัง โดยเฉพาะในภาคธุรกิจที่อยู่ภายใต้การกำกับดูแล
แนวทางการทำงานที่มีโครงสร้างชัดเจน ขับเคลื่อนด้วยข้อมูลเชิงลึกในทุกการทดสอบ
ทุกโครงการดำเนินตามแนวทางที่มีระเบียบวินัยเดียวกันผ่านแพลตฟอร์ม Velocity เพื่อให้คุณภาพ การติดตามตรวจสอบ และการรายงานมีมาตรฐานเดียวกันในทุกทีม
การกำหนดขอบเขต
กำหนดสินทรัพย์ สภาพแวดล้อม ข้อกำหนดในการทดสอบ และเกณฑ์การยอมรับร่วมกับผู้เกี่ยวข้องด้านเทคนิคและความปลอดภัย
การดำเนินการ
การทดสอบแบบ Manual และด้วยเครื่องมือโดยที่ปรึกษาที่ได้รับการรับรอง CREST พร้อมเก็บหลักฐานในทุกขั้นตอน
การตรวจสอบความถูกต้อง
ทุกการค้นพบจะถูกทำซ้ำ ประเมินระดับความเสี่ยงด้วย CVSS และยืนยันโดยที่ปรึกษาท่านที่สองก่อนรายงานผล
การรายงาน
รายงานที่ลงนามด้วยรหัส พร้อมการอ้างอิง Test Case การจัดระดับความรุนแรง ขั้นตอนการทำซ้ำ และแนวทางแก้ไข
สรุปผลและการทดสอบซ้ำ
การประชุมสรุปผลกับผู้เกี่ยวข้อง การช่วยจัดลำดับความสำคัญ และการทดสอบซ้ำหลังการแก้ไข
อ้างอิงมาตรฐานสากลที่ได้รับการยอมรับ
ทดสอบการป้องกันของท่านกับผู้เชี่ยวชาญด้านการรักษาความปลอดภัยเชิงรุก
ปรึกษาที่ปรึกษาที่ได้รับการรับรอง CREST เกี่ยวกับการทดสอบ Penetration Testing ครั้งถัดไปของท่าน