搜索

[14934] 2020-01-02_聊一聊安全测试的各种姿势

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-01-02_聊一聊安全测试的各种姿势 聊 一 聊 安 全 测 试 的 各 种 姿 势 s h e n g l 9 9   F r e e B u f   2 0 2 0 - 0 1 - 0 2 今 年 以 来 ， 红 蓝 攻 防 演 练 在 企 业 安 全 服 务 市 场 变 得 非 常 火 热 ， 特 别 是 在 演 习 行 动 推 动 下 ， 很 多 企 业 都 会 在 实 际 今 年 以 来 ， 红 蓝 攻 防 演 练 在 企 业 安 全 服 务 市 场 变 得 非 常 火 热 ， 特 别 是 在 演 习 行 动 推 动 下 ， 很 多 企 业 都 会 在 实 际 演 习 行 动 之 前 都 会 进 行 一 两 轮 、 甚 至 三 四 轮 的 攻 防 演 练 ， 以 提 前 发 现 企 业 安 全 体 系 建 设 中 的 短 板 与 弱 项 。 然 演 习 行 动 之 前 都 会 进 行 一 两 轮 、 甚 至 三 四 轮 的 攻 防 演 练 ， 以 提 前 发 现 企 业 安 全 体 系 建 设 中 的 短 板 与 弱 项 。 然 而 ， 有 些 企 业 就 开 始 有 点 迷 茫 了 ， 我 们 公 司 一 直 在 购 买 渗 透 测 试 服 务 ， 还 有 必 要 搞 红 蓝 攻 防 演 练 吗 ？ 渗 透 测 试 而 ， 有 些 企 业 就 开 始 有 点 迷 茫 了 ， 我 们 公 司 一 直 在 购 买 渗 透 测 试 服 务 ， 还 有 必 要 搞 红 蓝 攻 防 演 练 吗 ？ 渗 透 测 试 与 红 蓝 攻 防 演 练 到 底 有 何 不 同 呢 ？ 在 此 ， 笔 者 就 来 聊 聊 渗 透 测 试 的 各 种 姿 势 ， 以 方 便 大 家 在 购 买 安 全 服 务 时 进 与 红 蓝 攻 防 演 练 到 底 有 何 不 同 呢 ？ 在 此 ， 笔 者 就 来 聊 聊 渗 透 测 试 的 各 种 姿 势 ， 以 方 便 大 家 在 购 买 安 全 服 务 时 进 行 比 较 。 行 比 较 。 一 、 渗 透 测 试 基 本 概 念 一 、 渗 透 测 试 基 本 概 念 根 据 百 度 百 科 的 定 义 ： 渗 透 测 试 是 为 了 证 明 网 络 防 御 按 照 预 期 计 划 正 常 运 行 而 提 供 的 一 种 机 制 。 搜 狐 网 某 网 友 分 享 的 定 义 ： 渗 透 测 试 就 是 在 取 得 客 户 授 权 的 情 况 下 ， 通 过 模 拟 黑 客 攻 击 来 对 客 户 的 整 个 信 息 系 统 进 行 全 面 的 漏 洞 查 找 、 分 析 、 利 用 ， 最 后 给 出 完 整 的 渗 透 报 告 和 问 题 解 决 方 案 。 从 这 些 定 义 看 ， 渗 透 测 试 内 涵 其 实 还 是 非 常 宽 泛 的 ， 没 有 限 定 具 体 的 表 现 形 式 。 因 此 ， 在 具 体 实 施 过 程 中 ， 甲 方 公 司 根 据 各 自 的 企 业 情 况 （ 如 风 险 容 忍 程 度 、 C T O / C S O 个 人 喜 好 、 预 算 投 入 、 财 务 制 度 等 ） 进 行 灵 活 的 协 商 ， 形 成 了 适 应 企 业 实 际 情 况 的 渗 透 测 试 模 式 ， 可 以 说 ， 在 一 千 个 企 业 里 ， 就 存 在 着 一 千 种 渗 透 测 试 模 式 。 二 、 渗 透 测 试 的 各 种 姿 势 二 、 渗 透 测 试 的 各 种 姿 势 不 过 ， 从 笔 者 观 察 来 看 ， 这 些 不 同 的 渗 透 测 试 模 式 ， 大 致 可 以 分 为 以 下 五 种 ： 上 线 前 的 渗 透 测 试 、 上 线 后 定 期 在 线 安 全 测 试 、 依 托 众 测 平 台 的 安 全 众 测 、 自 组 织 的 安 全 众 测 、 红 蓝 攻 防 演 练 。 （ 一 ） 上 线 前 渗 透 测 试 （ 一 ） 上 线 前 渗 透 测 试 这 应 该 是 各 种 企 业 安 全 测 试 的 标 配 了 ， 一 般 都 是 信 息 系 统 已 经 完 成 了 联 调 联 试 ， 各 项 功 能 指 标 、 技 术 指 标 已 经 达 到 了 设 计 要 求 之 后 ， 在 企 业 的 测 试 环 境 中 进 行 的 一 次 渗 透 测 试 。 从 某 种 意 义 说 ， 上 线 前 的 渗 透 测 试 就 是 一 个 安 全 的 C h e c k l i s t ， 一 般 关 注 技 术 性 漏 洞 ， 利 用 各 种 工 具 检 查 系 统 存 不 存 在 x s s 、 文 件 上 传 、 越 权 访 问 、 命 令 执 行 等 漏 洞 。 渗 透 测 试 结 果 一 般 直 接 转 给 业 务 系 统 开 发 人 员 ， 对 企 业 内 其 他 人 员 的 安 全 意 识 传 导 作 用 比 较 薄 弱 。 目 标 系 统 ： 单 个 业 务 系 统 的 测 试 环 境 系 统 涉 及 人 员 ： 业 务 系 统 开 发 人 员 、 组 织 测 试 的 安 全 人 员 风 险 程 度 ： 最 小 ， 测 试 环 境 实 施 ， 不 会 影 响 业 务 。 发 现 问 题 的 影 响 面 ： 单 个 系 统 乙 方 厂 商 组 织 形 式 ： 一 般 会 采 用 购 买 人 力 包 或 项 目 包 的 方 式 实 施 ， 购 买 一 至 两 家 安 全 厂 商 的 服 务 ， 在 此 推 荐 至 少 购 买 两 家 ， 形 成 竞 争 格 局 。 局 限 性 ： 难 以 实 现 测 试 面 全 覆 盖 、 不 能 发 现 因 上 线 过 程 中 配 置 失 误 导 致 的 安 全 漏 洞 。 （ 二 ） 上 线 后 定 期 在 线 安 全 测 试 （ 二 ） 上 线 后 定 期 在 线 安 全 测 试 因 为 上 线 前 的 渗 透 测 试 不 能 发 现 因 上 线 过 程 中 配 置 失 误 导 致 的 安 全 漏 洞 ， 所 以 ， 有 些 企 业 就 会 采 用 上 线 后 定 期 在 线 安 全 测 试 的 形 式 ， 比 如 ， 每 季 度 、 每 个 重 大 活 动 之 前 等 。 根 据 实 际 情 况 ， 在 线 安 全 测 试 的 目 标 可 以 选 择 专 门 针 对 某 一 系 统 或 几 个 系 统 ， 也 可 以 选 择 全 量 的 在 线 业 务 系 统 。 安 全 测 试 不 仅 是 从 技 术 角 度 正 面 进 攻 检 测 漏 洞 ， 还 会 通 过 端 口 扫 描 、 资 产 发 现 、 管 理 后 台 扫 描 等 手 段 ， 发 现 因 配 置 失 误 导 致 的 安 全 漏 洞 。
目 标 系 统 ： 一 个 或 多 个 生 产 环 境 系 统 涉 及 人 员 ： 业 务 系 统 开 发 人 员 、 业 务 系 统 运 维 人 员 、 组 织 测 试 的 安 全 人 员 、 安 全 监 控 人 员 风 险 程 度 ： 存 在 一 定 风 险 ， 一 是 有 些 高 危 操 作 可 能 会 给 企 业 生 产 数 据 造 成 脏 数 据 的 风 险 ； 二 是 有 些 渗 透 测 试 人 员 发 现 漏 洞 不 报 告 ， 私 自 下 载 企 业 业 务 数 据 。 发 现 问 题 的 影 响 面 ： 单 个 系 统 乙 方 厂 商 组 织 形 式 ： 一 般 会 采 用 购 买 人 力 包 或 项 目 包 的 方 式 实 施 ， 购 买 一 至 两 家 安 全 厂 商 的 服 务 ， 在 此 推 荐 至 少 购 买 两 家 ， 形 成 竞 争 格 局 。 局 限 性 ： 难 以 实 现 测 试 面 全 覆 盖 。 （ 三 ） 依 托 众 测 平 台 的 安 全 众 测 （ 三 ） 依 托 众 测 平 台 的 安 全 众 测 2 0 1 0 年 成 立 的 乌 云 网 ， 聚 集 了 一 批 民 间 渗 透 测 试 高 手 ， 俗 称 “ 白 帽 子 ” ， 后 来 发 展 成 为 国 内 颇 具 影 响 力 的 漏 洞 平 台 。 2 0 1 1 年 ， 刚 成 立 一 年 的 乌 云 网 连 续 披 露 京 东 、 支 付 宝 、 网 易 等 著 名 互 联 网 企 业 存 在 高 危 漏 洞 ， 此 后 又 接 连 指 出 支 付 宝 2 5 0 0 万 用 户 资 料 泄 露 、 如 家 酒 店 开 房 信 息 泄 露 、 腾 讯 7 0 0 0 万 Q Q 群 用 户 数 据 泄 露 等 一 系 列 安 全 问 题 。 据 说 ， 那 时 候 企 业 安 全 人 员 每 天 起 床 的 第 一 件 事 就 是 打 开 乌 云 平 台 ， 看 看 有 没 有 自 家 的 安 全 漏 洞 。 乌 云 网 的 兴 起 让 人 们 看 到 了 渗 透 测 试 领 域 的 “ 人 民 战 争 ” 、 “ 群 众 路 线 ” 威 力 。 其 后 ， 乌 云 网 因 种 种 原 因 而 停 站 ， 但 是 ， 其 后 却 兴 起 了 一 批 以 专 门 提 供 众 测 服 务 的 安 全 厂 商 ， 比 较 典 型 的 有 漏 洞 盒 子 安 全 众 测 平 台 、 3 6 0 补 天 安 全 众 测 平 台 、 阿 里 先 知 安 全 众 测 平 台 、 S O B U G 安 全 众 测 平 台 等 。 随 着 各 企 业 互 联 网 应 用 不 断 增 多 ， 传 统 的 安 全 渗 透 测 试 也 面 临 着 测 试 人 手 不 足 、 产 品 版 本 更 迭 太 快 来 不 及 测 试 等 问 题 。 甲 方 厂 商 发 现 无 论 是 代 码 安 全 测 试 、 上 线 前 渗 透 测 试 ， 还 是 上 线 后 定 期 安 全 测 试 ， 都 无 法 完 全 及 时 发 现 企 业 全 量 的 安 全 漏 洞 ， 各 类 安 全 漏 洞 平 台 还 是 会 出 现 自 己 的 安 全 漏 洞 。 与 其 坐 以 待 毙 ， 还 不 如 主 动 作 为 ， 于 是 乎 ， 有 些 甲 方 厂 商 就 开 始 与 众 测 平 台 合 作 ， 通 过 协 议 委 托 众 测 平 台 发 布 专 业 测 试 项 目 ， 参 与 项 目 的 白 帽 子 需 通 过 审 核 认 证 后 才 能 报 名 参 与 众 测 项 目 ， 依 托 外 部 白 帽 子 发 现 企 业 的 安 全 漏 洞 。 目 标 系 统 ： 可 以 是 一 个 或 多 个 生 产 环 境 系 统 ， 也 可 以 是 待 发 布 的 测 试 环 境 系 统 。 涉 及 人 员 ： 业 务 系 统 开 发 人 员 、 业 务 系 统 运 维 人 员 、 组 织 测 试 的 安 全 人 员 、 安 全 监 控 人 员 风 险 程 度 ： 存 在 较 高 风 险 ， 一 是 白 帽 子 的 管 理 较 为 松 散 ， 背 景 调 查 、 身 份 核 验 等 难 度 较 大 。 二 是 有 些 高 危 操 作 可 能 会 给 企 业 生 产 数 据 造 成 脏 数 据 的 风 险 ； 三 是 有 些 渗 透 测 试 人 员 发 现 漏 洞 不 报 告 ， 私 自 下 载 企 业 业 务 数 据 。 发 现 问 题 的 影 响 面 ： 单 个 系 统 乙 方 厂 商 组 织 形 式 ： 选 择 一 家 互 联 网 安 全 众 测 平 台 作 为 安 全 众 测 服 务 商 ， 由 其 组 织 白 帽 子 参 与 项 目 众 测 ， 在 白 帽 子 之 间 形 成 竞 争 机 制 。 与 众 测 平 台 签 订 项 目 制 ， 可 以 在 众 测 平 台 在 线 公 开 发 布 众 测 项 目 ， 也 可 以 依 托 众 测 平 台 通 过 线 下 组 织 众 测 项 目 。 局 限 性 ： 难 以 发 现 高 阶 安 全 漏 洞 。 （ 四 ） 企 业 自 组 织 的 安 全 众 测 （ 四 ） 企 业 自 组 织 的 安 全 众 测 随 着 众 测 的 发 展 ， 有 些 比 较 大 的 甲 方 厂 商 就 开 始 存 在 不 同 的 思 路 了 。 一 是 有 些 企 业 觉 得 与 其 到 众 测 平 台 开 众 测 项 目 收 集 企 业 安 全 漏 洞 ， 还 不 如 我 自 己 直 接 接 收 白 帽 子 的 安 全 漏 洞 ， 于 是 ， 各 大 互 联 网 公 司 都 开 始 建 立 各 自 的 S R C 安 全 应 急 响 应 中 心 ， 在 其 中 提 供 专 门 的 漏 洞 收 集 板 块 ， 供 白 帽 子 提 交 漏 洞 ， 为 白 帽 子 提 供 积 分 、 礼 品 、 现 金 等 奖 励 。 二 是 有 些 企 业 觉 得 众 测 平 台 较 难 管 控 安 全 风 险 ， 普 通 的 渗 透 测 试 缺 乏 竞 争 机 制 ， 难 以 发 现 高 阶 安 全 漏 洞 。 于 是 这 些 企 业 就 开 始 组 织 厂 商 众 测 模 式 ， 选 择 四 五 家 安 全 厂 商 同 时 开 展 安 全 测 试 ， 然 后 按 漏 洞 效 果 付 费 ， 漏 洞 等 级 高 ， 付 费 就 高 ， 等 级 低 ， 付 费 就 低 。
目 标 系 统 ： 一 个 或 多 个 生 产 环 境 系 统 。 涉 及 人 员 ： 业 务 系 统 开 发 人 员 、 业 务 系 统 运 维 人 员 、 组 织 测 试 的 安 全 人 员 、 安 全 监 控 人 员 风 险 程 度 ： 存 在 较 高 风 险 ， 一 是 S R C 模 式 中 白 帽 子 的 管 理 较 为 松 散 ， 背 景 调 查 、 身 份 核 验 等 难 度 较 大 。 二 是 有 些 高 危 操 作 可 能 会 给 企 业 生 产 数 据 造 成 脏 数 据 的 风 险 ； 三 是 有 些 渗 透 测 试 人 员 发 现 漏 洞 不 报 告 ， 私 自 下 载 企 业 业 务 数 据 。 发 现 问 题 的 影 响 面 ： 厂 商 众 测 可 能 会 发 现 影 响 面 较 大 的 安 全 漏 洞 乙 方 厂 商 组 织 形 式 ： 选 择 多 家 （ 一 般 为 2 至 5 家 ） 安 全 渗 透 测 试 公 司 ， 分 别 组 织 专 业 渗 透 人 员 参 与 项 目 众 测 ， 按 漏 洞 效 果 付 费 ， 在 多 家 公 司 之 间 形 成 竞 争 机 制 ， 择 优 淘 劣 。 局 限 性 ： 安 全 漏 洞 数 量 不 可 控 ， 企 业 投 入 可 能 较 大 ， 乙 方 的 服 务 不 能 持 续 实 施 ， 一 般 以 项 目 制 形 式 ， 预 算 花 完 就 停 止 服 务 。 （ 五 ） 红 蓝 攻 防 演 练 （ 五 ） 红 蓝 攻 防 演 练 以 上 说 的 渗 透 测 试 都 相 当 于 单 项 打 靶 射 击 考 核 ， 一 次 专 项 性 的 能 力 测 验 ， 以 发 现 技 术 漏 洞 的 目 的 为 主 。 而 红 蓝 攻 防 演 练 考 验 的 是 企 业 的 整 体 防 护 水 平 和 防 护 体 系 ， 如 全 体 人 员 安 全 意 识 、 防 护 系 统 检 测 发 现 能 力 、 目 标 系 统 漏 洞 情 况 等 ， 既 考 验 了 防 护 系 统 的 有 效 性 ， 又 全 面 检 查 系 统 各 类 漏 洞 情 况 ， 还 考 验 人 员 的 安 全 意 识 。 因 此 ， 红 蓝 攻 防 演 练 一 般 是 针 对 企 业 的 全 部 信 息 系 统 、 分 支 机 构 ， 不 设 具 体 目 标 、 不 限 具 体 手 段 ， 全 面 检 验 企 业 的 主 动 防 护 、 安 全 检 测 、 应 急 处 置 等 能 力 ， 发 现 系 统 技 术 漏 洞 反 而 是 附 属 性 的 。 在 攻 防 演 练 过 程 中 ， 一 ， 攻 击 者 会 利 用 社 工 、 边 边 角 角 系 统 等 进 行 迂 回 包 抄 ， 直 到 达 到 入 侵 系 统 的 目 的 为 止 。 任 何 一 点 疏 漏 都 可 能 导 致 整 体 防 护 体 系 的 溃 败 。 攻 防 演 练 考 验 的 是 企 业 的 总 体 防 护 水 平 。 二 ， 攻 防 演 练 不 仅 能 发 现 技 术 性 漏 洞 ， 还 能 发 现 企 业 安 全 管 理 上 的 漏 洞 、 防 护 体 系 上 的 漏 洞 、 防 护 策 略 上 的 漏 洞 等 。 三 、 攻 防 演 练 的 对 象 企 业 全 体 资 产 、 人 员 、 数 据 等 ， 因 此 ， 任 何 一 个 人 、 系 统 都 可 能 成 为 企 业 安 全 防 护 体 系 中 的 短 板 。 最 后 在 演 练 总 结 通 报 中 ， 加 以 总 结 提 炼 ， 传 达 到 企 业 全 员 ， 可 以 达 到 提 升 全 员 安 全 意 识 的 目 的 。 在 集 中 攻 防 演 练 期 间 ， 企 业 安 全 人 员 作 为 防 守 方 ， 充 分 参 与 攻 防 过 程 ， 可 以 有 效 提 升 防 护 人 员 的 技 术 水 平 。 目 标 系 统 ： 企 业 全 体 资 产 、 人 员 、 数 据 、 系 统 。 涉 及 人 员 ： 企 业 全 体 人 员 风 险 程 度 ： 存 在 较 高 风 险 ， 一 是 有 些 高 危 操 作 可 能 会 给 企 业 生 产 数 据 造 成 脏 数 据 的 风 险 ； 二 是 有 些 渗 透 测 试 人 员 发 现 漏 洞 不 报 告 ， 私 自 下 载 企 业 业 务 数 据 。 发 现 问 题 的 影 响 面 ： 能 够 全 面 发 现 企 业 安 全 体 系 的 漏 洞 乙 方 厂 商 组 织 形 式 ： 选 择 多 家 （ 一 般 为 2 至 5 家 ） 安 全 渗 透 测 试 公 司 ， 分 别 组 织 专 业 渗 透 人 员 参 与 红 蓝 攻 防 演 练 ， 按 漏 洞 效 果 付 费 ， 在 多 家 公 司 之 间 形 成 竞 争 机 制 ， 择 优 淘 劣 。 局 限 性 ： 安 全 漏 洞 数 量 不 可 控 ， 企 业 投 入 可 能 较 大 ， 乙 方 的 服 务 不 能 持 续 实 施 ， 一 般 以 项 目 制 形 式 ， 预 算 花 完 就 停 止 服 务 。 三 、 渗 透 测 试 服 务 的 选 购 建 议 三 、 渗 透 测 试 服 务 的 选 购 建 议 综 上 所 述 ， 甲 方 企 业 在 进 行 年 度 的 安 全 渗 透 服 务 预 算 时 ， 可 以 适 当 考 虑 多 层 次 的 安 全 渗 透 测 试 服 务 ， 以 达 到 尽 可 能 多 的 发 现 安 全 漏 洞 目 的 。 首 先 ， 上 线 前 渗 透 测 试 和 上 线 后 定 期 安 全 测 试 应 该 是 企 业 安 全 渗 透 测 试 服 务 的 标 准 选 择 。 有 些 企 业 可 能 害 怕 渗 透 测 试 影 响 业 务 运 行 ， 而 只 选 择 上 线 前 渗 透 测 试 。 但 是 ， 殊 不 知 有 些 系 统 上 线 过 程 中 产 生 漏 洞 危 害 也 是 巨 大 的 ， 更 有 甚 者 ， 有 些 系 统 上 线 前 根 本 就 没 有 经 过 安 全 渗 透 测 试 或 者 阶 段 变 更 没 有 经 过 安 全 渗 透 测 试 ， 这 些 都 会 导 致 渗 透 测 试 在 流 程
上 、 机 制 上 存 在 覆 盖 盲 点 。 其 次 ， 安 全 众 测 可 以 适 当 考 虑 投 入 预 算 ， 毕 竟 渗 透 测 试 领 域 的 “ 人 民 战 争 ” 、 “ 群 众 路 线 ” 威 力 还 是 不 可 小 觑 的 。 预 算 少 的 中 小 企 业 可 以 在 众 测 平 台 上 开 个 众 测 项 目 ， 预 算 多 的 大 企 业 可 以 考 虑 建 设 自 己 的 S R C 服 务 ， 或 者 自 己 组 织 进 行 厂 商 众 测 。 有 些 人 认 为 我 们 是 很 低 调 的 公 司 ， 有 没 有 必 要 开 个 众 测 项 目 来 引 起 外 部 白 帽 子 的 注 意 力 。 在 此 ， 我 想 说 的 是 ， 无 论 你 低 调 不 低 调 ， 漏 洞 总 在 那 里 ， 不 主 动 去 发 现 它 、 修 复 它 ， 它 始 终 在 那 里 ， 与 其 被 动 挨 打 ， 不 如 主 动 出 击 。 最 后 ， 大 企 业 在 进 行 安 全 渗 透 测 试 服 务 预 算 规 划 和 年 度 计 划 时 ， 应 尽 量 能 安 排 一 些 攻 防 演 练 经 费 ， 红 蓝 攻 防 演 练 给 企 业 安 全 建 设 带 来 的 好 处 只 有 亲 身 经 历 才 能 体 会 其 中 真 味 。 一 是 ， 每 年 固 定 一 至 俩 个 时 间 点 （ 上 、 下 半 年 各 一 次 ） ， 发 布 攻 防 演 练 通 告 ， 集 中 开 展 攻 防 演 练 工 作 （ 集 中 时 间 点 ） 。 二 、 一 般 企 业 可 组 织 外 部 安 全 团 队 进 行 攻 防 演 练 ， 防 护 方 由 企 业 内 部 人 员 担 当 ， 攻 击 者 由 外 部 企 业 组 织 。 大 厂 一 般 都 开 始 建 立 专 门 的 安 全 渗 透 团 队 ， 号 称 企 业 蓝 军 ， 经 常 性 开 展 攻 防 演 练 工 作 。 三 、 渗 透 测 试 可 适 当 形 成 夺 标 奖 励 机 制 ， 要 以 企 业 的 攻 击 成 果 论 英 雄 、 给 经 费 ， 不 要 让 外 部 企 业 感 觉 干 多 干 少 一 个 样 ， 有 没 有 效 果 一 个 样 。 * 本 文 作 者 ： 本 文 作 者 ： s h e n g l 9 9 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理