Authenticated Scan یا Unauthenticated Scan؟ مقایسه دقت، پوشش و ریسک

تعریف‌ها

 Authenticated Scan

اسکنر با یوزر/پسورد (SSH، WinRM، Agent…) وارد سیستم می‌شود و از داخل چک می‌کند:

• نسخه و Patch واقعی
• نرم‌افزارهای نصب‌شده
• تنظیمات امنیتی و Misconfigها

Unauthenticated Scan

اسکنر فقط از روی شبکه و بدون Login:

• پورت‌ها و سرویس‌های باز
• بنرها و رفتار سرویس‌ها

دقت (Accuracy)

• Authenticated
  • دقت بالا، Patch-Level واقعی را می‌بیند
  • Misconfiguration را هم شناسایی می‌کند
  • False Positive کمتر
• Unauthenticated
• مبتنی بر حدس نسخه از روی بنر
• Patch واقعی را نمی‌داند
• False Positive بیشتر

 برای دید عمیق و واقعی، Authenticated دقیق‌تر است.

 پوشش (Coverage)

• Authenticated:
  • سرویس‌های فقط لوکال، نرم‌افزارهای بدون پورت باز، Policyها، Registry و…
  • دید کامل روی سیستم
• Unauthenticated:
• فقط چیزهایی که از بیرون شبکه دیده می‌شود (پورت، سرویس، بنر)

 Authenticated پوشش خیلی بیشتری دارد.

 ریسک‌ها

امنیتی (Credential Risk)

• Authenticated:
  • نیاز به Credential (گاهی Admin) → ریسک نشت
  • باید از Vault، Least Privilege و Rotation استفاده شود
• Unauthenticated:
• بدون Credential → ریسک نشتِ صفر

عملیاتی (Operational Risk)

• Authenticated:
  • دسترسی عمیق؛ در موارد نادر ممکن است روی سرویس‌ها فشار بیاورد
• Unauthenticated:
• سبک‌تر، مناسب شروع روی سیستم‌های حساس/Legacy

در عمل چه کنیم؟

• برای Enterprise، Patch Management و Compliance →ترکیب هر دو، با تمرکز روی Authenticated در داخل شبکه
• برای سیستم‌های Internet-facing / DMZ →حداقل Unauthenticated Scan
• برای سیستم‌های بسیار حساس (ICS/OT و…) →اول Unauthenticated با شدت کم، بعد Authenticated با Change کنترل‌شده

جمع‌بندی یک‌خطی

• Authenticated = دقت و پوشش بالا ولی با ریسک Credential
• Unauthenticated = دید مهاجم بیرونی با ریسک کمتر، اما دقت کمتر