脆弱性評価とペネトレーションテストの違いは何ですか？

脆弱性評価は、主にスキャンとトリアージを通じて既知の脆弱性を特定し、ランク付けし、広範なカバレッジを生成します。侵入テストは、発見された脆弱性を悪用し、それらを連鎖させることで、攻撃者が実際にどこまで到達できるかを示すことで、さらに踏み込みます。評価は定期的な衛生チェックに適しており、侵入テストはリリース、顧客要件、または特定の高価値システムに適しています。

What authorisation do I need before testing can begin?

ターゲットを所有しているか、所有者からの書面による許可が必要です。また、多くのホスティングプロバイダーも通知を要求します。Zinnerは、正確なドメイン、IP範囲、アプリケーション、合意されたテスト期間、範囲外のシステムを記載した書面による範囲を要求すると予想されます。信頼できるテスターは、権限を証明できないターゲットに対して作業を開始することはありません。

How is a penetration test scoped and priced?

各Zinnerは、独自の価格を米ドルで設定し表示します。範囲は通常、アプリケーションまたはホストの数、テストするユーザーロールの数、およびエンゲージメントがブラックボックス、グレーボックス、または完全に資格情報付きであるかどうかによって決まります。見積もりが実際の環境を反映するように、注文前にアーキテクチャの概要とターゲット数を共有してください。

What does the final report actually contain?

通常、エグゼクティブサマリー、方法論セクション、および重大度評価、影響を受けるコンポーネント、再現手順、証拠、具体的な修正ガイダンスを含む発見リストが含まれます。多くのテスターは、技術付録と修正優先順位も提供します。修正後の再テストが含まれているかどうかを尋ねてください。これは多くの場合、リストに記載されている別の成果物です。

Will testing disrupt my live systems?

慎重なテストは中断を避けるように設計されていますが、特に脆弱な、またはプロビジョニングが不十分な本番システムに対しては、アクティブなテストには常に何らかのリスクが伴います。テスト期間に合意し、破壊的な手法を範囲外として書面で定義し、ロールバックパスを準備し、本番環境をミラーリングするステージング環境をテストすることを検討してください。エンゲージメントを開始する前に、Zinnerとこれについて話し合ってください。

How do I choose a security tester on Zinn Hub?

プロファイルで、取得している認定、従っている方法論、最も頻繁にテストする環境を読んでください。レポートの品質こそが実際に購入するものであるため、編集済みのサンプルレポートを要求してください。レビューは確認済みの購入からのみ行われ、ZinnersはIDとスキルが検証されています。各Zinnerは、プロファイルに自身の拠点も記載しています。