OSSTMM
Что такое OSSTMM?
OSSTMMОткрытая, проверенная сообществом методология тестирования безопасности от ISECOM, определяющая научные и воспроизводимые измерения операционной безопасности в пяти каналах.
Open Source Security Testing Methodology Manual (OSSTMM) поддерживается Institute for Security and Open Methodologies (ISECOM) и используется аудиторами и пентестерами для воспроизводимых оценок на основе доказательств. Документ определяет пять каналов тестирования: человеческий, физический, беспроводной, телекоммуникационный и каналы данных, и формирует количественный показатель Risk Assessment Value (RAV) на основе операционных контролей, ограничений и доверия. OSSTMM делает упор на правила взаимодействия, научные измерения и этику, а не на чек-листы инструментов. Методология широко цитируется в государственных и регулируемых аудитах и дополняет технические фреймворки, такие как PTES и NIST SP 800-115.
● Примеры
- 01
Аудитор использует OSSTMM для оценки физической и человеческой поверхности атаки отделения банка.
- 02
Пентестер сочетает RAV-оценку OSSTMM с техническими процедурами PTES.
● Частые вопросы
Что такое OSSTMM?
Открытая, проверенная сообществом методология тестирования безопасности от ISECOM, определяющая научные и воспроизводимые измерения операционной безопасности в пяти каналах. Относится к категории Соответствие и стандарты в кибербезопасности.
Что означает OSSTMM?
Открытая, проверенная сообществом методология тестирования безопасности от ISECOM, определяющая научные и воспроизводимые измерения операционной безопасности в пяти каналах.
Как работает OSSTMM?
Open Source Security Testing Methodology Manual (OSSTMM) поддерживается Institute for Security and Open Methodologies (ISECOM) и используется аудиторами и пентестерами для воспроизводимых оценок на основе доказательств. Документ определяет пять каналов тестирования: человеческий, физический, беспроводной, телекоммуникационный и каналы данных, и формирует количественный показатель Risk Assessment Value (RAV) на основе операционных контролей, ограничений и доверия. OSSTMM делает упор на правила взаимодействия, научные измерения и этику, а не на чек-листы инструментов. Методология широко цитируется в государственных и регулируемых аудитах и дополняет технические фреймворки, такие как PTES и NIST SP 800-115.
Как защититься от OSSTMM?
Защита от OSSTMM обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия OSSTMM?
Распространённые альтернативные названия: Открытое руководство по методологии тестирования безопасности.
● Связанные термины
- compliance№ 876
PTES
Методология тестирования на проникновение, разработанная сообществом, организующая работу в семь этапов от предварительной фазы до отчета и рекомендаций по устранению.
- compliance№ 768
OSCP
Практическая сертификация по наступательной безопасности от Offensive Security, получаемая после 24-часового экзамена с компрометацией лабораторной сети.
- compliance№ 152
CEH
Сертификация этичного хакера от EC-Council, изучающая инструменты и методы атакующих в разведке, эксплуатации, веб-, беспроводных и облачных тестах.
- defense-ops№ 813
Тестирование на проникновение
Санкционированная имитация кибератаки на системы, приложения или людей с целью выявить эксплуатируемые слабости до того, как это сделают реальные злоумышленники.
- compliance№ 735
NIST SP 800-30
Специальная публикация NIST, дающая рекомендации по проведению оценки рисков информационных систем и поддерживаемых ими задач.