Vulnerability Scanning lawan Penetration Testing: Mana Satu yang Anda Perlukan?

Jika anda bertanya kepada tiga vendor tentang cara menguji keselamatan anda, anda mungkin akan mendengar istilah "vulnerability scan", "penetration test", dan "VAPT" digunakan secara berganti-ganti. Hakikatnya, ia tidak sama, kosnya sangat berbeza, dan jika tersalah beli, anda akan membazir wang atau berasa selamat secara palsu. Panduan ini akan menjelaskan perbezaan antara vulnerability scanning dan penetration testing dalam bahasa yang mudah difahami, supaya pemilik perniagaan atau pengurus IT di Malaysia dapat membuat keputusan yang tepat.

Secara ringkasnya: vulnerability scan adalah pemeriksaan automatik yang meluas dan kerap untuk kelemahan yang diketahui. Penetration test pula adalah percubaan sengaja oleh pakar manusia untuk menceroboh, bagi melihat sejauh mana penyerang sebenar boleh pergi. Satu memberitahu anda di mana pintu yang tidak berkunci mungkin berada; yang lain membuktikan apa yang seseorang boleh lakukan dengan melalui pintu tersebut.

Apakah itu vulnerability scan?

Vulnerability scan adalah penilaian automatik. Perisian akan memeriksa sistem, pelayan, komputer riba, peranti rangkaian, laman web, dan perkhidmatan cloud anda terhadap pangkalan data ribuan kelemahan yang diketahui, kemudian menghasilkan laporan yang menyenaraikan penemuan mengikut tahap keterukan. Ia pantas, boleh diulang, dan agak murah, sebab itulah scanning perlu dilakukan secara berkala, bukan setahun sekali.

Scanning adalah meluas tetapi cetek. Ia sangat berkesan untuk mengesan perkara yang jelas dan diketahui: patch yang hilang, password lalai, perisian lapuk, salah konfigurasi. Apa yang tidak dapat dilakukannya ialah menggabungkan beberapa kelemahan kecil seperti yang dilakukan oleh penyerang kreatif, atau menilai konteks perniagaan, sama ada penemuan "medium" pada sistem tertentu sebenarnya adalah risiko "crown-jewel". Badan piawaian seperti NIST (SP 800-115) menganggap scanning sebagai aktiviti kebersihan teras yang berterusan.

Apakah itu penetration test?

Penetration test ("pentest") adalah serangan terkawal dan dibenarkan yang dilakukan oleh pakar keselamatan yang mahir. Daripada hanya menyenaraikan kelemahan, penguji cuba mengeksploitasi kelemahan tersebut, menggabungkan kecacatan, meningkatkan akses, dan bergerak melalui persekitaran anda sama seperti musuh sebenar, kemudian melaporkan sejauh mana mereka berjaya dan berapa kos yang akan anda tanggung.

Pentesting adalah mendalam tetapi berkala. Ia lebih mahal dan memakan masa kerana ia bergantung kepada kepakaran dan kreativiti manusia. Rangka kerja daripada OWASP (untuk aplikasi web) dan metodologi yang digunakan oleh penguji bertauliah CREST membimbing bagaimana ujian yang ketat dirancang dan dilaksanakan. Hasilnya bukan sekadar senarai kelemahan, ia adalah cerita realistik tentang pendedahan anda, yang sangat berharga untuk mengutamakan pembetulan dan untuk memenuhi soalan due-diligence daripada pelanggan, syarikat insurans, atau pengawal selia.

Perbandingan sebelah-menyebelah

Faktor	Vulnerability Scan	Penetration Test
Kaedah	Automatik	Manual, dipimpin manusia
Kedalaman	Meluas, tahap permukaan	Sempit, mendalam, berasaskan eksploitasi
Kekerapan	Berterusan / bulanan	Setiap tahun atau setiap perubahan besar
Kos	Rendah	Lebih tinggi
Jawapan	"Di mana kita mungkin lemah?"	"Apa yang sebenarnya boleh dilakukan oleh penyerang?"

Bagaimana pula dengan VAPT?

Anda akan sering melihat "VAPT", Vulnerability Assessment and Penetration Testing, ditawarkan sebagai pakej. Ini hanyalah gabungan kedua-duanya: scanning automatik secara berkala untuk liputan berterusan, ditambah dengan ujian manual mendalam secara berkala. Bagi banyak organisasi, ini adalah jawapan yang masuk akal, kerana kedua-dua pendekatan ini saling melengkapi kelemahan masing-masing. Scanning memastikan anda sentiasa jujur antara ujian; pentesting mengesahkan bahawa pertahanan anda kukuh terhadap manusia yang bertekad.

Yang mana patut perniagaan anda mulakan?

Jika anda baru bermula dalam perjalanan keselamatan anda, mulakan dengan vulnerability scanning secara berkala dan patching yang berdisiplin, ia akan menghapuskan "low-hanging fruit" yang menjadi sasaran kebanyakan serangan oportunistik. Panduan kami tentang pengurusan patch untuk PKS Malaysia sangat berkaitan dengan ini. Setelah asas anda kukuh, tambahkan penetration testing secara berkala, terutamanya sebelum melancarkan aplikasi baharu yang berhadapan dengan pelanggan, selepas perubahan infrastruktur utama, atau apabila pelanggan atau pengawal selia memerlukan bukti ujian.

Kedua-dua aktiviti ini menyumbang kepada amalan yang lebih luas yang dipanggil vulnerability management, iaitu kitaran berterusan mencari, mengutamakan, dan membetulkan kelemahan. Sama ada scan atau pentest tidak akan membantu jika penemuan hanya tersimpan dalam laporan yang tidak diambil tindakan. Di sinilah juga kepatuhan bersilang: rangka kerja seperti ISO 27001 mengharapkan ujian berterusan, satu perkara yang kami tekankan dalam mengapa ISO 27001 gagal tanpa pemantauan keselamatan berterusan.

Kesimpulan

Vulnerability scanning dan penetration testing adalah saling melengkapi, bukan boleh ditukar ganti. Scanning memberikan anda liputan yang kerap, berpatutan, dan meluas terhadap kelemahan yang diketahui; penetration testing memberikan anda gambaran realistik yang didorong oleh manusia tentang apa yang boleh dicapai oleh penyerang sebenar. Mulakan dengan scanning dan patching yang kukuh, tambahkan pentest berkala apabila anda semakin matang, dan yang paling penting, pastikan sesuatu sebenarnya dibetulkan selepas setiap satu.

Soalan lazim

Berapa kerapkah kita perlu menjalankan vulnerability scan?

Sekurang-kurangnya setiap bulan, dan selepas sebarang perubahan signifikan. Banyak perniagaan menjalankan scan berterusan atau mingguan pada sistem yang menghadap internet, kerana kelemahan baharu didedahkan secara berterusan.

Adakah kita diwajibkan secara undang-undang untuk melakukan penetration test di Malaysia?

Tiada mandat undang-undang menyeluruh untuk setiap perniagaan, tetapi pelanggan, syarikat insurans, dan rangka kerja atau kontrak tertentu semakin memerlukan bukti ujian, dan obligasi PDPA menjadikan demonstrasi keselamatan yang "munasabah" sebagai langkah yang bijak.

Bolehkah alat automatik menggantikan penetration tester?

Tidak. Automated scanning mencari isu yang diketahui, tetapi ia tidak dapat meniru kreativiti manusia yang mahir dalam menggabungkan kelemahan. Kedua-duanya paling baik digunakan bersama.

Adakah vulnerability scan sama dengan Cybersecurity Health Check?

Tidak sama persis. Cybersecurity Health Check menilai postur dan proses keseluruhan anda merentasi beberapa bidang; vulnerability scan adalah pemeriksaan teknikal untuk kelemahan perisian tertentu. Ia menjawab soalan yang berbeza dan berfungsi dengan baik bersama.

Rujukan

• NIST SP 800-115 (Technical Guide to Security Testing), csrc.nist.gov
• OWASP, owasp.org
• CREST, crest-approved.org
• CyberSecurity Malaysia, cybersecurity.my

Bacaan berkaitan: Apakah itu vulnerability management? dan Pengurusan patch untuk PKS Malaysia.