神刀安全网

这样做,让你的渗透测试更有效

进行渗透测试首先需要确认渗透测试项目的起始状态。定义起始状态的最常见的方法是确定选择黑盒测试或白盒测试或灰盒测试。

测试类型的选择

黑盒测试存在不少问题。由于被测系统的原因,也由于测试者对环境的熟悉程度不同,要估算侦察阶段能持续多长时间是很困难的,而且侦察阶段的长短涉及到费用问题。但是,如果测试时间不足,渗透测试往往可能“流产”。还有一点不太现实的因素,就是一个有着强烈动机的攻击者在仔细研究攻击目标时,是不会顾及那些限制因素的,因为他往往是专业的渗透测试者。所以,我们建议实施灰盒测试而不是黑盒测试。

如果渗透测试者可以与被测试系统有密切接触,或者充分了解被测系统,就可以明确地定义渗透测试的目标,并且测试报告的结果往往也可以预料。被测者要向测试者提供一些关于目标系统的细节,如网络信息、系统类型、公司的流程、服务,等等。白盒测试一般关注的是具体的业务目标,如满足合规需要,而不是一般性的评估,而且由于受到目标系统的范围限制,白盒测试往往是一种更为简短的任务。白盒测试能够减少信息收集的工作量,如侦察服务,可以减少渗透测试服务的成本。因而,内部的安全团队往往进行白盒测试。

什么情况下实施灰盒测试?答案就是在客户或系统的所有者同意在侦察阶段需要发现一些未知信息时,但又允许渗透测试人员跳过这个部分。渗透测试人员从系统所有者那里得到一些目标系统的基本信息;然而,内部工作和有些特权信息仍对渗透测试者保密。

真正的攻击者在攻击目标之前都要收集一些关于目标的信息。多数攻击者并不会选择随机的目标。攻击者往往有着强烈的动机,并且在攻击之前往往以某种方式与攻击目标进行交互。灰盒测试对于许多执行渗透测试的安全专家来说是很有吸引力的,因为这种测试模仿攻击者使用的真实方法,并且其关注的重点是漏洞而不是侦察。

测试范围定义了渗透服务怎样开始,怎样执行。渗透测试应当进行信息收集,用以记录目标环境和定义任务的范围,这样做的目的是避免一些不必要的侦察服务或超出范围的攻击系统。

真正的攻击者往往不受时间、资金、道德、工具的限制,这意味限制渗透测试的范围并不能代表真实情况。例如,一个渗透测试者可以捕获用户登录到关键系统的凭据,他根本无需测试这些系统是否容易遭受基于网络的攻击,就可以访问这些系统。还有很重要的一点,就是哪些人应知道渗透测试。真正的攻击者可能会在任何时间发动攻击。

确定渗透测试的范围

在制定渗透测试的范围时,你应该注意如下基本要点:

· 目标系统的确定:即确定应当测试哪些系统。其中包括网络位置、系统类型、对这些系统的业务使用等等。

· 测试工作的时间范围:测试应当在何时开始?为满足指定的测试目标,确定的时间范围是什么?

· 如何评估目标系统:你允许使用哪些测试方法(如扫描和漏洞利用)?如果你允许使用特定的测试方法,会带来哪些风险?如果由于渗透测试而造成目标系统无法运行,其影响是什么?例如,通过冒充雇员而使用社会网络,对关键系统使用拒绝服务攻击,对有漏洞的服务执行脚本,等等。有些方法可能比其它方法给系统带来更高的风险。

· 工具和软件:在渗透测试期间,你要使用哪些软件和工具?很多安全专家认为,如果泄露了工具就等于泄露了秘密武器。只有在安全专家在使用一些可以广泛获得的商业产品时,并且只是根据这些产品的报告来重新打造自己的品牌时,你才可能需要保密。有经验的安全专家会透露自己使用的工具,在揭露

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 这样做,让你的渗透测试更有效

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
分享按钮