Relazione tra test di penetrazione e risultati falsi positivi

Fai molte domande diverse.

Direi che, nel complesso, uno strumento automatizzato che produce risultati accurati al 100% è impossibile. Altrimenti tutti i tester di penetrazione nel mondo sarebbero senza lavoro.

Per fare un esempio, RedHat ripristina le patch di sicurezza per le versioni precedenti del software con il loro supporto a lungo termine. Uno strumento automatico potrebbe rilevare che il server sta eseguendo una particolare versione del kernel che ha un exploit di escalation di privilegi e lo segnala come tale. Tuttavia, a causa delle patch di sicurezza di RedHat, quella particolare vulnerabilità di escalation dei privilegi è fissa e non più sfruttabile. Tuttavia, un tester di penetrazione utilizzerebbe il rapporto di questo strumento automatizzato come punto di partenza nel processo di sfruttamento e scoprirà che la vulnerabilità è effettivamente corretta. Questo tende a rimuovere molti falsi positivi generati dagli strumenti automatici.

Certo, eliminare i falsi positivi consuma una discreta quantità di tempo in un test di penetrazione. Tuttavia, non lo considererei un aspetto negativo. È solo una parte dell'intero processo di test di penetrazione. Probabilmente non causerà alcun ritardo nel processo di test di penetrazione o influenzerà la sua qualità in quanto un buon penetrometro dovrebbe aver già preso in considerazione questi fattori all'inizio del test.

Un buon penetrometro utilizza gli strumenti a sua disposizione per rendere più efficiente il suo lavoro. Gli strumenti automatici non sostituiscono le competenze, le conoscenze e l'esperienza adeguate.

Gli scanner sono forse più limitati nelle aree che possono coprire dei falsi positivi che producono.

Un falso positivo durante i test può essere fastidioso e dispendioso in termini di tempo, ma in larga misura un tester esperto può compensare facilmente man mano che acquisisci familiarità con i probabili falsi positivi (ad esempio l'esempio che @Terry fornisce delle correzioni di sicurezza backported) rende meno un problema.

In termini di scanner automatici, gli autori devono stabilire un equilibrio tra falsi positivi e falsi negativi. Quando uno scanner vede qualcosa che "potrebbe" essere un problema ma che non può essere definitivamente confermato, può segnalarlo (maggiore tasso di falsi positivi), ignorarlo (maggiore tasso di falsi negativi) o fare quello che penso che molti scanner facciano (in particolare gli scanner di app Web) e assegnare un livello di sicurezza al risultato.

Questo si inserisce di nuovo nel processo manuale in quanto un tester può ottenere risultati ad alta confidenza poiché non richiede molto follow-up e si concentra sui risultati che possono essere di alto impatto ma di cui lo scanner non è sicuro (il miglior uso degli sforzi manuali).