Vulnerability Assessment คืออะไร และต่างจาก Pentest อย่างไร

Vulnerability Assessment คืออะไร

Vulnerability Assessment (VA) คือกระบวนการค้นหา จับคู่ และจัดอันดับจุดอ่อนบนระบบที่ได้รับอนุญาตให้ทดสอบ โดยยังไม่เน้นการยืนยันผ่านการโจมตีจริง NIST SP 800-115 จัด VA ไว้ในกลุ่มการทดสอบด้านเทคนิคที่ให้ภาพความเสี่ยงเพื่อนำไปแก้ไข ไม่ใช่การพิสูจน์ว่าเจาะเข้าไปได้ไกลแค่ไหน

ผลลัพธ์ทั่วไปของ VA คือรายการ finding พร้อมระดับความรุนแรง อ้างอิง CVE เมื่อมี และคำแนะนำให้ปิดพอร์ต อัปเดตซอฟต์แวร์ หรือปรับการตั้งค่า

ความต่างจาก Penetration Testing

PCI DSS แยก requirement เรื่องการสแกนช่องโหว่กับการทดสอบเจาะระบบไว้คนละข้อ ดูภาพรวมที่ PCI Security Standards Council ไม่ควรยึด VA แทน pentest เมื่อมาตรฐานกำหนดทั้งสองอย่าง

OWASP รวบรวมวิธีทดสอบเว็บแอปไว้ที่ Web Security Testing Guide ซึ่งกว้างกว่าการสแกนพอร์ตและเวอร์ชันบริการ

สิ่งที่ VA บอกได้และบอกไม่ได้

VA ที่อิงเวอร์ชันบริการ (เช่น จับคู่ CPE กับ NVD) บอกได้ว่าซอฟต์แวร์รุ่นนั้นมี CVE ที่บันทึกไว้ อาจมีผลบวกลวงถ้าแบนเนอร์ไม่ตรงของจริง หรือผลลบหลุดถ้าตรวจเวอร์ชันไม่ได้

สคริปต์ตรวจจับ (detection) ที่รายงานสถานะว่ามีช่องโหว่ที่รู้จัก มีความมั่นใจสูงกว่าการจับคู่เวอร์ชันอย่างเดียว แต่ยังไม่ใช่การรับประกันว่าไม่มีช่องโหว่อื่น

VA ไม่ได้แทนที่การทบทวนสิทธิ์ผู้ใช้, การออกแบบระบบ, หรือการตรวจโค้ด ตามที่ OWASP Top 10 ครอบคลุมหลายหมวดที่สแกนเนอร์ภายนอกเห็นไม่ครบ

ขอบเขตและความยินยอม

ทดสอบได้เฉพาะทรัพย์สินที่เป็นของตนเองหรือได้รับอนุญาตเป็นลายลักษณ์อักษร การสแกนระบบของผู้อื่นโดยไม่ได้รับอนุญาตอาจผิดกฎหมาย กำหนดช่วงเวลา รายการโฮสต์ และช่องทางติดต่อเมื่อบริการสะดุดไว้ก่อนเริ่มงาน ตามแนวใน NIST SP 800-115 เรื่องกฎการทดสอบ

สรุป

ใช้ VA เป็นวงจรปฏิบัติการ: สแกน อ่านผล แก้ จบด้วยการสแกนซ้ำ ใช้ pentest เมื่อต้องการประเมินผลกระทบเชิงลึกตามสัญญา VA ที่ดีช่วยให้ทีมปิดช่องโหว่ที่เปิดทิ้งไว้บนพอร์ตสาธารณะได้เร็วขึ้น แต่ไม่ใช่ใบรับรองว่าปลอดภัยทั้งระบบ

แหล่งอ้างอิง

• NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment
• OWASP Web Security Testing Guide
• OWASP Top 10:2021
• PCI Security Standards Council
• National Vulnerability Database