Informationsteknologi officerer gennemføre sikkerheds sårbarhedsvurderinger at finde bestemte huller eller sårbarheder i computer-og netværkssystemer . Penetration audits er specielt formateret sårbarhedsvurderinger designet til at simulere et angreb udefra , mens " white- box" test forudsætter kendskab til interne systemer og software til at finde flere sårbarheder. Sårbarhed opdagelse er et afgørende skridt i det samlede systems sikkerhed , da det giver vejledning og specifikt fokus for sikkerhedspersonalet. Historie
Simple lappeløsninger af nysgerrige forskere i 1970'erne markerede uformelle begyndelsen af sikkerheds sårbarhedsvurderinger. Siden da har specialiserede teams af informationssikkerhed officerer , såsom FBI CART (Computer Analysis and Response Team ) , arbejdet på at forske og løse sikkerhedshuller i moderne edb-systemer. Stort set alle større software og hardware udvikling Virksomheden beskæftiger sikkerhedspersonale , som regelmæssigt dyrlæge produkter til bugs og forkert design . Sikkerhed sårbarhedsvurderinger opdage og løse så mange fejl som muligt, før hackere kan bruge dem til ondsindede formål.
Betydning
p Som det første og vigtigste skridt af sikkerheden respons livscyklus , sårbarhedsvurderingen eller penetration test giver sikkerhedspersonale specifikke opgaver at beskytte organisationen mod angreb . En sårbarhedsvurdering , der undlader at opdage fejl er en invitation til et vellykket angreb . Succesfulde sårbarhedsvurderinger bane vejen for en drastisk reduktion i angreb potentiale.
Typer
Virksomheder ofte ansætter uden afprøvning virksomheder til at simulere et angreb udefra, kaldet " black-box " test. Black- box test er hurtige og effektive måder at finde fælles sårbarheder i netværk systemer , især for hjemmesider og databaser. Softwareudvikling virksomheder vælger mere grundig og tidskrævende " white- box" test , der indebærer en omhyggelig inspektion af systemet - både hardware og software. I forsvarsindustrien , dirigerer National Security Agency informations sikkerhed division både sort -box og white- box test for store entreprenører.
Misforståelser
Formålet sårbarhedsvurderinger er at finde så mange sikkerhedshuller som muligt , hvilket reducerer risikoen for et vellykket angreb . Men det er umuligt at finde hver enkelt sårbarhed i et system, som noget som uskyldigt som en variabel af den forkerte type eller en åben port kan udnyttes af en dygtig hacker . Sikkerhedssvaghed audits er ikke den endelige alle et sikkerhedsprogram , snarere en begyndelse point for sikkerhedskontrol. Som systemer udvikler og sikkerhedsmæssige krav vokser, sårbarhedsvurderinger stadig vigtige, men ikke ufejlbarlig dele af et godt afrundet sikkerhedsprogram .
Tidsramme
Informationsteknologi administratorer foretager regelmæssigt penetrationstest og sårbarhedsvurderinger at være på forkant af nyopdagede sårbarheder. Sårbarhedsvurderinger bør gennemføres før integration og opgradering af alle større computer-system og derefter med jævne mellemrum - mindst en gang årligt . Som led i en kontinuerlig kultur af sikkerhed, skal systemadministratorer være opmærksomme på resultaterne af hver sårbarheden . Siden hurtige sårbarhedsvurderinger opdager større eller allerede er offentliggjort sårbarheder , hver gang en sikkerhedsmeddelelse eller plaster kommer ud , skal informationsteknologi personale foretage en ny revision.
