En sårbarhetsanalys skannar system efter kända svagheter. Det är inte ett penetrationstest. Ett pentest försöker utnyttja brister. En sårbarhetsanalys identifierar och listar dem. Resultatet är en rapport med resultat rangordnade efter allvarlighetsgrad. Organisationen bestämmer vad som ska åtgärdas och när. Bedömningar är snabbare och billigare än pentest, vilket är anledningen till att de körs oftare. Kvartalsvisa skanningar är vanliga. Kontinuerlig skanning blir standard.

Verktygen varierar. Nätverksskannrar som Nessus och OpenVAS undersöker värdar efter öppna portar, föråldrad programvara och saknade patchar. Webbapplikationsskannrar som Burp Suite och OWASP ZAP genomsöker webbplatser för injektionsfel, trasig autentisering och felkonfigurationer. Verktyg för molnsäkerhetsställning kontrollerar konfigurationer mot riktmärken. Varje verktyg har blinda fläckar. Skannrar producerar falska positiva resultat och missar logikfel som kräver mänsklig analys. En sårbarhetsbedömning är en utgångspunkt. Den talar om för dig var du ska leta. Den talar inte om för dig vad en angripare faktiskt skulle göra. Att kombinera bedömning med penetrationstester ger en mer fullständig bild. Skanningen hittar hålen. Penntestet bevisar vilka som är viktiga.

Steg för sårbarhetsbedömning

• Definiera omfattning och lagertillgångar
• Kör automatiska skanningar
• Validera fynd och ta bort falska positiva resultat
• Prioritera efter allvarlighetsgrad och sammanhang
• Åtgärda och skanna om för att bekräfta

En skanning som körs men aldrig leder till korrigeringar är en efterlevnadsövning. Värdet ligger i åtgärden.