搜索

[21938] 2021-05-05_渗透测试方法论

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2021-05-05_渗透测试方法论 渗 透 测 试 方 法 论 L e m o n S e c   2 0 2 1 - 0 5 - 0 5 渗 透 测 试 方 法 论 渗 透 测 试 方 法 论         渗 透 测 试 （ p e n e t r a t i o n   t e s t i n g , p e n t e s t ） 是 实 施 安 全 评 估 （ 即 审 计 ） 的 具 体 手 段 。         方 法 论 是 在 制 定 、 实 施 信 息 安 全 审 计 方 案 时 ， 需 要 遵 循 的 规 则 、 惯 例 和 过 程 。         人 们 在 评 估 网 络 、 应 用 、 系 统 或 三 者 组 合 的 安 全 状 况 时 ， 不 断 摸 索 各 种 务 实 的 理 念 和 成 熟 的 做 法 ， 并 总 结 了 一 套 理 论 — — 渗 透 测 试 方 法 论 。         渗 透 测 试 方 法 论 渗 透 测 试 方 法 论 ( 黑 盒 测 试 黑 盒 测 试 , 白 盒 测 试 脆 弱 性 评 估 与 渗 透 测 试 白 盒 测 试 脆 弱 性 评 估 与 渗 透 测 试 )         黑 盒 测 试         在 进 行 黑 盒 测 试 时 ， 安 全 审 计 员 在 不 清 楚 被 测 单 位 的 内 部 技 术 构 造 的 情 况 下 ， 从 外 部 评 估 网 络 基 础 设 施 的 安 全 性 。         在 渗 透 测 试 的 各 个 阶 段 ， 黑 盒 测 试 借 助 真 实 世 界 的 黑 客 技 术 ， 暴 露 出 目 标 的 安 全 问 题 ， 甚 至 可 以 揭 露 尚 未 被 他 人 利 用 的 安 全 弱 点 。         渗 透 测 试 人 员 应 能 理 解 安 全 弱 点 ， 将 之 分 类 并 按 照 风 险 等 级 （ 高 、 中 、 低 ） 对 其 排 序 。         通 常 来 说 ， 风 险 级 别 取 决 于 相 关 弱 点 可 能 形 成 危 害 的 大 小 。         老 练 的 渗 透 测 试 专 家 应 能 够 确 定 可 引 发 安 全 事 故 的 所 有 攻 击 模 式 。         当 测 试 人 员 完 成 黑 盒 测 试 的 所 有 测 试 工 作 之 后 ， 他 们 会 把 与 测 试 对 象 安 全 状 况 有 关 的 必 要 信 息 进 行 整 理 ， 并 使 用 业 务 的 语 言 描 述 这 些 被 识 别 出 来 的 风 险 ， 继 而 将 之 汇 总 为 书 面 报 告 。         黑 盒 测 试 的 市 场 报 价 通 常 会 高 于 白 盒 测 试 。         白 盒 测 试         白 盒 测 试 的 审 计 员 可 以 获 取 被 测 单 位 的 各 种 内 部 资 料 甚 至 不 公 开 资 料 ， 所 以 渗 透 测 试 人 员 的 视 野 更 为 开 阔 。         若 以 白 盒 测 试 的 方 法 评 估 安 全 漏 洞 ， 测 试 人 员 可 以 以 最 小 的 工 作 量 达 到 最 高 的 评 估 精 确 度 。         白 盒 测 试 从 被 测 系 统 环 境 自 身 出 发 ， 全 面 消 除 内 部 安 全 问 题 。         从 而 增 加 了 从 单 位 外 部 渗 透 系 统 的 难 度 。         黑 盒 测 试 起 不 到 这 样 的 作 用 。         白 盒 测 试 所 需 要 的 步 骤 数 目 与 黑 盒 测 试 不 相 上 下 。         另 外 ， 若 能 将 白 盒 测 试 与 常 规 的 研 发 生 命 周 期 相 结 合 ， 就 可 以 在 入 侵 者 发 现 甚 至 利 用 安 全 弱 点 之 前 ， 尽 可 能 最 早 地 消 除 全 部 安 全 隐 患 。         这 使 得 白 盒 测 试 的 时 间 、 成 本 ， 以 及 发 现 、 解 决 安 全 弱 点 的 技 术 门 槛 都 全 面 低 于 黑 盒 测 试 。         脆 弱 性 评 估 与 渗 透 测 试         脆 弱 性 评 估 通 过 分 析 企 业 资 产 面 临 安 全 威 胁 的 情 况 和 程 度 ， 评 估 内 部 和 外 部 的 的 安 全 控 制 的 安 全 性 。         这 种 技 术 上 的 信 息 系 统 评 估 ， 不 仅 揭 露 现 有 防 范 措 施 里 存 在 的 风 险 ， 而 且 要 提 出 多 重 备 选 的 补 救 策 略 ， 并 将 这 些 策 略 进 行 比 较 。         内 部 的 脆 弱 性 评 估 可 保 证 内 部 系 统 的 安 全 性 ， 而 外 部 的 脆 弱 性 评 估 则 是 验 证 边 界 防 护 （ p e r i m e t e r   d e f e n s e s ） 的 有 效 性 。         无 论 进 行 内 部 脆 弱 性 评 估 还 是 进 行 外 部 脆 弱 性 评 估 ， 评 估 人 员 都 会 采 用 各 种 攻 击 模 式 来 严 格 测 试 网 络 资 产 的 安 全 性 ， 从 而 验 证 信 息 系 统 处 理 安 全 威 胁 的 能 力 ， 进 而 确 定 应 对 措 施 的 有 效 性 。         不 同 类 型 的 脆 弱 性 评 估 需 要 的 测 试 流 程 、 测 试 工 具 和 自 动 化 测 试 技 术 也 不 相 同 。         这 可 以 通 过 一 体 化 的 安 全 弱 点 管 控 （ v u l n e r a b i l i t y   m a n a g e m e n t ） 平 台 来 实 现 。         现 在 的 安 全 弱 点 管 理 平 台 带 有 可 自 动 更 新 的 漏 洞 数 据 库 ， 能 够 测 试 不 同 类 型 的 网 络 设 备 ， 而 且 不 会 影 响 配 置 管 理 和 变 更 管 理 的 完 整 性 。         脆 弱 性 评 估 和 渗 透 测 试 两 者 最 大 的 区 别 就 是 ： 脆 弱 性 评 估 和 渗 透 测 试 两 者 最 大 的 区 别 就 是 ：         渗 透 测 试 不 仅 要 识 别 目 标 的 弱 点 ， 它 还 设 计 在 目 标 系 统 上 进 行 漏 洞 利 用 、 权 限 提 升 和 访 问 维 护 。         换 句 话 说 ， 脆 弱 性 评 估 虽 然 可 以 充 分 发 现 系 统 里 的 缺 陷 ， 但 是 不 会 考 虑 去 衡 量 这 些 缺 陷 对 系 统 造 成 的 危 害 。         另 外 ， 相 比 脆 弱 性 评 估 ， 渗 透 测 试 更 倾 向 于 入 侵 ， 会 刻 意 使 用 各 种 技 术 手 段 利 用 安 全 漏 洞 ；         所 以 渗 透 测 试 可 能 对 生 产 环 境 带 来 实 际 的 破 坏 性 影 响 。         而 脆 弱 性 评 估 以 非 入 侵 的 方 式 ， 定 性 、 定 量 得 识 别 已 知 安 全 弱 点 。 — — — — — — — — — — — — — — — —
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦 版 权 声 明 ： 本 文 为 C S D N 博 主 「 水 中 煮 鱼 冒 气 」 的 原 创 文 章 ， 遵 循 C C   4 . 0   B Y - S A 版 权 协 议 ， 转 载 请 附 上 原 文 出 处 链 接 及 本 声 明 。 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / q q _ 4 1 9 0 1 1 2 2 / a r t i c l e / d e t a i l s / 1 0 1 9 3 7 9 6 9
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理