ÉValue les vulnérabilités avec Hacks éthiques - mannequins

, la prochaine étape consiste à confirmer s'il s'agit de vulnérabilités dans votre système ou votre réseau. Avant de tester, effectuez une recherche manuelle. Vous pouvez rechercher des babillards hackers, des sites Web et des bases de données de vulnérabilités, telles que:

• Common Vulnerabilities and Exposures

• Base de données des vulnérabilités US-CERT

• NIST National Vulnerability Database

Ces sites répertorient les vulnérabilités connues - du moins celles classiquement classées. Vous voyez que de nombreuses autres vulnérabilités sont de nature plus générique et ne peuvent pas facilement être classées. Si vous ne trouvez pas de vulnérabilité documentée sur l'un de ces sites, recherchez le site du fournisseur. Ce site contient la liste de consensus SANS Top 20 Vulnerabilities, compilée et mise à jour par l'organisation SANS.

Si vous ne voulez pas rechercher vos vulnérabilités potentielles et que vous pouvez passer directement aux tests, vous avez plusieurs options:

• Évaluation manuelle: Vous pouvez évaluer les vulnérabilités potentielles en: se connecter aux ports qui exposent le service ou l'application et fouiller dans ces ports. Vous devez évaluer manuellement certains systèmes (tels que les applications Web). Les rapports de vulnérabilité dans les bases de données précédentes révèlent souvent comment procéder, du moins en général. Si vous avez beaucoup de temps libre, effectuer ces tests manuellement pourrait fonctionner pour vous.

• Évaluation automatisée: Les évaluations manuelles sont un excellent moyen d'apprendre, mais les gens n'ont généralement pas le temps de passer à la plupart des étapes manuelles.

De nombreux outils d'évaluation de la vulnérabilité testent les failles sur des plates-formes spécifiques (telles que Windows et UNIX) et les types de réseaux (câblés ou sans fil). Ils testent les vulnérabilités spécifiques du système et certains se concentrent spécifiquement sur la liste SANS Top 20 et le projet Open Web Application Security.

Les versions de ces outils permettent de mapper la logique métier au sein d'une application Web. d'autres peuvent aider les développeurs de logiciels à tester les failles de code. L'inconvénient de ces outils est qu'ils ne trouvent que des vulnérabilités individuelles; ils ne corrèlent souvent pas les vulnérabilités sur l'ensemble d'un réseau. Cependant, l'avènement des systèmes de gestion des vulnérabilités (SIEM) et des vulnérabilités permet à ces outils de corréler ces vulnérabilités.

Un outil de piratage éthique favori est un scanner de vulnérabilités appelé QualysGuard by Qualys. Il s'agit à la fois d'un analyseur de port et d'un outil d'évaluation de la vulnérabilité, et il offre une grande aide pour la gestion des vulnérabilités.

QualysGuard est un outil basé sur le cloud. Il vous suffit de naviguer sur le site Web de Qualys, de vous connecter à votre compte et d'entrer l'adresse IP des systèmes que vous souhaitez tester. Qualys dispose également d'une appliance que vous pouvez installer sur votre réseau et qui vous permet de scanner les systèmes internes. Vous planifiez simplement l'évaluation, puis le système exécute des tests et génère d'excellents rapports, tels que ceux-ci:

• Un rapport exécutif contenant des informations générales issues des résultats de l'analyse.

• Un rapport technique d'explications détaillées sur les vulnérabilités et les contre-mesures spécifiques.

  

Comme avec la plupart des bons outils de sécurité, vous payez pour QualysGuard. Ce n'est pas l'outil le moins cher , mais vous obtenez ce que vous payez, surtout quand il s'agit d'autres personnes qui vous prennent au sérieux si la conformité PCI DSS est exigée de votre entreprise.

Avec QualysGuard, vous achetez un bloc d'analyses basé sur le nombre d'analyses que vous exécutez. Une alternative à QualysGuard que beaucoup de gens jure par est Nexpose de Rapid7, qui se trouve avoir une version gratuite (Community Edition) pour numériser jusqu'à 32 hôtes.

L'évaluation des vulnérabilités avec un outil tel que QualysGuard nécessite une expertise de suivi. Vous ne pouvez pas compter uniquement sur les résultats de l'analyse. Vous devez valider les vulnérabilités qu'il signale. Étudiez les rapports pour baser vos recommandations sur le contexte et la criticité des systèmes testés.