sebezhetségvizsgálatok

A sebezhetőségvizsgálatok a szervezetek informatikai rendszereinek, alkalmazásainak és folyamataik biztonsági réseinek azonosítását szolgáló tevékenységek összessége. Céljuk a kockázatkezelés támogatása oly módon, hogy feltárják, értékelik és rangsorolják a gyenge pontokat, és javaslatokat adnak a mitigálásra.

A vizsgálat kiterjedhet külső és belső nézetre; érintheti például hálózatokat, webes és mobil alkalmazásokat, felhőszolgáltatásokat vagy IoT eszközöket. Gyakran megkülönböztetik a sebezhetőség-felmérést a behatolási teszteléstől, amely a védelmi rések kiaknázását célozza a hatás igazolására.

Az eljárás általában több fázisból áll: célmeghatározás és megállapodás a vizsgálat kereteiről, információgyűjtés és felderítés (automatikus szkennerek és manuális vizsgálat kombinációja), azonosítás és értékelés (sebezhetőségek listája, kockázati szintek meghatározása CVSS alapján), jelentés készítése javaslatokkal, javítási terv és végül újrapróba a javítások hatékonyságának ellenőrzésére.

Az eredmény egy részletes jelentés, amely felsorolja a feltárt sebezhetőségeket leírásokkal, érintett rendszerekkel, bizonyítékokkal, a súlyosság CVSS-számaival, valamint ajánlott intézkedésekkel, priorizálással és határidőkkel.

Átfogó keretrendszer: CVSS, OWASP Top Ten webes alkalmazásoknál, NIST SP 800-115 és egyéb ipari sztenderdek segítik a megközelítést. Ez a tevékenység nem garantálja a teljes biztonságot; a környezet folyamatos karbantartást és rendszeres felülvizsgálatot igényel a változások nyomon követése érdekében.