Úgy nézünk rá, ahogy a támadó.
/platform/automata-serulekenysegi-vizsgalat
Kinek való. Bármely szervezetnek, amelynek van internet felől elérhető szolgáltatása · IT-vezetőnek és IBF-nek · minden biztonsági osztályban, de magas besorolásnál kézi teszttel kiegészítve.
Mit nem helyettesít. Ez a blokk kötelező, és a hero alatt kell szerepelnie. Az ASR automatizált, külső, ismétlődő vizsgálat. Nem helyettesíti a kézi penetrációs tesztet, a forráskód-elemzést és a belső hálózati vizsgálatot. Magas biztonsági osztályba sorolt rendszernél kézi teszt is szükséges, és ezt a szövegben nyíltan ki kell mondani. Egy felkészült beszerző úgyis tudja a különbséget; ha mi mondjuk ki előbb, az hitelességet ad, nem veszít.
Jogszabályi megfelelés
| Követelmény | Kontrollcsalád | Hogyan elégíti ki a modul |
|---|---|---|
| Speciális biztonsági értékelések | 5. Értékelés, engedélyezés és monitorozás | Külső sérülékenységi és CVE-eredmények az alkalmazásokhoz és komponensekhez kötve, központilag visszakereshetően |
| Folyamatos felügyelet | 5. Értékelés, engedélyezés és monitorozás | Periodikus újravizsgálat, a korábbi eredménnyel összevetve |
| Hibajavítás | 18. Rendszer- és információsértetlenség | A találatokból javítási feladat lesz felelőssel és határidővel, a lezárás bizonyítékkal |
| Publikus szolgáltatások védelmének ellenőrzése | 17. Rendszer- és kommunikációvédelem | A kitettség kimutatása; a védelmi megoldásokat nem a modul működteti (bizonyíték szintű lefedettség) |
PDCA és felülvizsgálat. A vizsgálat ütemezett, nem eseti. A modul figyelmeztet az esedékes újrafuttatásra, a nyitott találatok határidő előtt emlékeztetőt, lejárat után eszkalációt váltanak ki, és az újravizsgálat megmutatja, valóban megszűnt-e a találat.
GYIK
- Mennyire terheli a rendszereinket? A vizsgálat kívülről, nem beavatkozó módon fut; az ütemezés egyeztethető.
- Kell hozzá hozzáférést adni? Nem. Ez blackbox vizsgálat, hitelesítő adat nélkül — pontosan ez a lényege.
- Mit jelent a pontszám? A találatok súlyozott összegzését, hogy időben összehasonlítható legyen. Önmagában nem megfelelőségi mérőszám.
- Elég ez az auditra? A bizonyítékot előállítja, de a magas besorolású rendszereknél az auditor kézi tesztet is elvárhat.
- Milyen gyakran érdemes futtatni? A változás ütemétől függ. Aktívan fejlesztett webes felületnél havonta, stabil környezetben negyedévente reális.