Đánh giá lỗ hổng bảo mật quét hệ thống để tìm các điểm yếu đã biết. Nó không phải là kiểm thử xâm nhập. Kiểm thử xâm nhập cố gắng khai thác các lỗ hổng. Đánh giá lỗ hổng bảo mật xác định và liệt kê chúng. Kết quả là một báo cáo với các phát hiện được xếp hạng theo mức độ nghiêm trọng. Tổ chức sẽ quyết định cần khắc phục những gì và khi nào. Đánh giá nhanh hơn và rẻ hơn so với kiểm thử xâm nhập, đó là lý do tại sao chúng được thực hiện thường xuyên hơn. Quét định kỳ hàng quý là phổ biến. Quét liên tục đang trở thành tiêu chuẩn.

Các công cụ rất đa dạng. Các công cụ quét mạng như Nessus và OpenVAS dò tìm các máy chủ để tìm các cổng mở, phần mềm lỗi thời và các bản vá bị thiếu. Các công cụ quét ứng dụng web như Burp Suite và OWASP ZAP thu thập thông tin từ các trang web để tìm các lỗ hổng tấn công, lỗi xác thực và cấu hình sai. Các công cụ kiểm tra tư thế bảo mật đám mây kiểm tra cấu hình so với các tiêu chuẩn. Mỗi công cụ đều có những điểm mù. Các công cụ quét có thể tạo ra kết quả dương tính giả và bỏ sót các lỗi logic cần phân tích của con người. Đánh giá lỗ hổng là điểm khởi đầu. Nó cho bạn biết cần tìm ở đâu. Nó không cho bạn biết kẻ tấn công thực sự sẽ làm gì. Kết hợp đánh giá với kiểm thử xâm nhập sẽ cho bức tranh toàn diện hơn. Quá trình quét tìm ra các lỗ hổng. Kiểm thử xâm nhập chứng minh lỗ hổng nào quan trọng.

Các bước đánh giá lỗ hổng bảo mật

• Xác định phạm vi và kiểm kê tài sản
• Chạy các bản quét tự động
• Xác thực kết quả và loại bỏ các kết quả dương tính giả.
• Ưu tiên theo mức độ nghiêm trọng và bối cảnh.
• Khắc phục sự cố và quét lại để xác nhận.

Một quá trình quét chạy mà không dẫn đến việc sửa lỗi chỉ là một bài tập tuân thủ. Giá trị nằm ở việc khắc phục sự cố.