Een kwetsbaarheidsanalyse scant systemen op bekende zwakke punten. Het is geen penetratietest. Een penetratietest probeert kwetsbaarheden te exploiteren. Een kwetsbaarheidsanalyse identificeert en inventariseert ze. Het resultaat is een rapport met bevindingen, gerangschikt op ernst. De organisatie beslist wat er moet worden aangepakt en wanneer. Analyses zijn sneller en goedkoper dan penetratietests, daarom worden ze vaker uitgevoerd. Scans per kwartaal zijn gebruikelijk. Continue scans worden steeds vaker uitgevoerd.

De tools variëren. Netwerkscanners zoals Nessus en OpenVAS scannen hosts op open poorten, verouderde software en ontbrekende patches. Webapplicatiescanners zoals Burp Suite en OWASP ZAP crawlen sites op injectielekken, gebroken authenticatie en verkeerde configuraties. Tools voor cloudbeveiliging controleren configuraties aan de hand van benchmarks. Elke tool heeft blinde vlekken. Scanners produceren valse positieven en missen logische fouten die menselijke analyse vereisen. Een kwetsbaarheidsanalyse is een startpunt. Het vertelt je waar je moet zoeken. Het vertelt je niet wat een aanvaller daadwerkelijk zou doen. Het combineren van een analyse met penetratietesten geeft een completer beeld. De scan vindt de gaten. De penetratietest bewijst welke gaten ertoe doen.

Stappen voor kwetsbaarheidsanalyse

• Definieer de reikwijdte en inventariseer de activa.
• Voer geautomatiseerde scans uit
• Bevindingen valideren en valse positieven verwijderen.
• Prioriteer op basis van ernst en context.
• Herstel de fout en voer een nieuwe scan uit ter bevestiging.

Een scan die wel wordt uitgevoerd, maar nooit tot oplossingen leidt, is slechts een formaliteit. De waarde zit hem in de daadwerkelijke oplossing.