Μια αξιολόγηση ευπάθειας σαρώνει τα συστήματα για γνωστές αδυναμίες. Δεν είναι δοκιμή διείσδυσης. Μια δοκιμή τύπου pen προσπαθεί να εκμεταλλευτεί ελαττώματα. Μια αξιολόγηση ευπάθειας τα εντοπίζει και τα καταγράφει. Το αποτέλεσμα είναι μια αναφορά με ευρήματα που ταξινομούνται ανάλογα με τη σοβαρότητά τους. Ο οργανισμός αποφασίζει τι θα διορθώσει και πότε. Οι αξιολογήσεις είναι ταχύτερες και φθηνότερες από τις δοκιμές τύπου pen, γι' αυτό και εκτελούνται συχνότερα. Οι τριμηνιαίες σαρώσεις είναι συνηθισμένες. Η συνεχής σάρωση γίνεται πλέον στάνταρ.

Τα εργαλεία ποικίλλουν. Οι σαρωτές δικτύου όπως το Nessus και το OpenVAS ανιχνεύουν ανοιχτές θύρες, παρωχημένο λογισμικό και ελλείπουσες ενημερώσεις κώδικα. Οι σαρωτές εφαρμογών ιστού όπως το Burp Suite και το OWASP ZAP ανιχνεύουν ιστότοπους για ελαττώματα έγχυσης, προβληματικό έλεγχο ταυτότητας και λανθασμένες ρυθμίσεις. Τα εργαλεία στάσης ασφάλειας cloud ελέγχουν τις ρυθμίσεις σε σχέση με τα benchmarks. Κάθε εργαλείο έχει τυφλά σημεία. Οι σαρωτές παράγουν ψευδώς θετικά και ελαττώματα λογικής που απαιτούν ανθρώπινη ανάλυση. Μια αξιολόγηση ευπάθειας είναι ένα σημείο εκκίνησης. Σας λέει πού να ψάξετε. Δεν σας λέει τι θα έκανε στην πραγματικότητα ένας εισβολέας. Ο συνδυασμός της αξιολόγησης με τις δοκιμές διείσδυσης δίνει μια πληρέστερη εικόνα. Η σάρωση βρίσκει τα κενά. Η δοκιμή πένας αποδεικνύει ποια είναι σημαντικά.

Βήματα αξιολόγησης ευπάθειας

• Ορίστε το πεδίο εφαρμογής και τα περιουσιακά στοιχεία αποθέματος
• Εκτέλεση αυτοματοποιημένων σαρώσεων
• Επικύρωση ευρημάτων και αφαίρεση ψευδώς θετικών αποτελεσμάτων
• Προτεραιότητα με βάση τη σοβαρότητα και το πλαίσιο
• Διορθώστε και επαναλάβετε τη σάρωση για επιβεβαίωση

Μια σάρωση που εκτελείται αλλά δεν οδηγεί ποτέ σε διορθώσεις αποτελεί άσκηση συμμόρφωσης. Η αξία έγκειται στην αποκατάσταση.