搜索

[7356] 2021-07-09_安全测试入门：初创公司实用指南

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2021-07-09_安全测试入门：初创公司实用指南 安 全 测 试 入 门 ： 初 创 公 司 实 用 指 南 安 全 小 E   E 安 全   2 0 2 1 - 0 7 - 0 9 在 初 创 公 司 创 始 人 之 间 存 在 一 个 普 遍 误 解 ： 网 络 犯 罪 分 子 不 会 在 他 们 身 上 浪 费 时 间 ， 因 为 他 们 还 不 够 强 大 或 不 够 知 名 。 但 仅 仅 因 为 你 小 并 不 意 味 着 你 不 在 被 攻 击 的 范 围 之 中 。 初 创 公 司 的 规 模 并 不 能 使 其 免 受 网 络 攻 击 — — 这 是 因 为 黑 客 不 断 扫 描 互 联 网 ， 寻 找 他 们 可 以 利 用 的 漏 洞 ； 一 个 失 误 ， 您 的 企 业 就 会 因 为 错 误 的 原 因 成 为 头 版 新 闻 。 因 此 ， 如 果 您 是 一 名   C T O ， 正 在 考 虑 提 升 您 的 网 络 或 移 动 应 用 程 序 的 网 络 安 全 状 况 ， 那 么 您 已 经 走 在 正 确 的 轨 道 上 ， 但 有 这 么 多 选 择 ， 您 应 该 从 哪 里 开 始 ？ 为 了 帮 助 您 开 始 ， 我 们 创 建 了 本 指 南 ， 其 中 涵 盖 以 下 关 键 点 ： 安 全 测 试 是 一 个 广 义 的 术 语 ， 指 的 是 检 查 系 统 、 网 络 或 软 件 是 否 存 在 黑 客 和 其 他 威 胁 参 与 者 可 以 利 用 的 漏 洞 的 过 程 。 它 可 以 有 多 种 形 式 ， 因 此 在 本 文 中 ， 我 们 将 探 讨 它 的 两 个 主 要 组 成 部 分 ： （ 1 ） 漏 洞 评 估 ： 使 用 工 具 扫 描 您 的 系 统 或 应 用 程 序 是 否 存 在 安 全 问 题 的 自 动 化 安 全 测 试 。 这 些 工 具 被 称 为 “ 漏 洞 扫 描 器 ” ， 它 们 执 行 自 动 化 测 试 以 发 现 应 用 程 序 或 基 础 架 构 中 的 缺 陷 。 缺 陷 类 型 可 能 是 应 用 程 序 级 别 的 弱 点 、 云 配 置 问 题 ， 或 者 只 是 显 示 缺 少 安 全 补 丁 的 软 件 （ 网 络 安 全 漏 洞 的 最 常 见 原 因 之 一 ） 。 （ 2 ） 渗 透 测 试 ： 主 要 由 网 络 安 全 专 家 进 行 手 动 评 估 （ 尽 管 它 通 常 由 漏 洞 扫 描 工 具 支 持 ） ， 以 及 确 定 威 胁 参 与 者 可 以 利 用 漏 洞 的 程 度 。 渗 透 测 试 是 在 某 个 时 间 点 找 到 尽 可 能 多 的 弱 点 的 好 方 法 ， 但 是 您 应 该 考 虑 在 渗 透 测 试 人 员 回 家 后 您 多 快 收 到 新 漏 洞 的 警 报 。 漏 洞 扫 描 程 序 还 使 组 织 能 够 在 进 行 更 深 入 且 通 常 更 昂 贵 的 手 动 测 试 之 前 了 解 有 关 其 安 全 状 态 的 更 多 信 息 。 这 在 许 多 情 况 下 是 显 而 易 见 的 ， 因 为 渗 透 测 试 人 员 通 常 会 通 过 运 行 相 同 的 自 动 化 工 具 来 开 始 他 们 的 测 试 。 前 情 提 要 什 么 是 安 全 测 试 ？ 为 什 么 要 进 行 安 全 测 试 ？ 定 义 网 络 安 全 测 试 的 范 围 多 久 执 行 一 次 渗 透 测 试 ？ 具 体 内 容 什 么 是 安 全 测 试 ？
V e r a c o d e   的 软 件 安 全 状 况 报 告 显 示 ， 8 3 %   的 研 究 样 本 （ 包 括 全 球   2 , 3 0 0   家 公 司 使 用 的   8 5 , 0 0 0   个 软 件 应 用 程 序 ） 在 初 始 安 全 测 试 期 间 至 少 发 现 了 一 个 安 全 漏 洞 。 如 果 没 有 测 试 ， 这 些 缺 陷 就 会 被 发 布 到 生 产 环 境 中 ， 使 软 件 容 易 受 到 网 络 攻 击 。 如 果 出 于 这 个 原 因 ， 您 决 定 开 始 安 全 测 试 只 是 为 了 在 黑 客 之 前 发 现 您 的 弱 点 。 您 可 以 灵 活 地 决 定 自 己 的 要 求 ； 跳 到 下 一 节 。 否 则 ， 执 行 安 全 测 试 的 其 他 常 见 原 因 是 ： （ 1 ）   第 三 方 或 客 户 的 要 求 。 如 果 合 作 伙 伴 或 客 户 特 别 要 求 您 执 行 安 全 测 试 以 确 保 他 们 的 客 户 数 据 免 受 网 络 攻 击 者 的 侵 害 — — 您 可 能 有 更 严 格 的 要 求 。 然 而 ， 仍 有 解 释 的 余 地 。 客 户 需 要 “ 渗 透 测 试 ” 是 很 常 见 的 ， 但 他 们 很 少 具 体 说 明 这 究 竟 意 味 着 什 么 。 （ 2 ） 标 准 认 证 和 行 业 法 规 。 许 多 行 业 法 规 或 合 规 性 认 证 还 要 求 组 织 定 期 进 行 安 全 测 试 。 常 见 示 例 包 括   I S O   2 7 0 0 1 、 P C I   D S S   和   S O C 2 。 这 些 标 准 详 细 说 明 了 所 需 的 测 试 ， 但 即 使 是 最 具 体 的 也 没 有 具 体 说 明 测 试 的 方 式 或 内 容 ， 因 为 这 取 决 于 手 头 的 场 景 。 出 于 这 个 原 因 ， 人 们 通 常 认 为 ， 接 受 测 试 的 公 司 最 适 合 确 定 哪 种 级 别 的 安 全 测 试 在 他 们 的 场 景 中 有 意 义 。 因 此 ， 您 可 能 会 发 现 以 下 指 南 在 确 定 测 试 内 容 和 方 式 方 面 仍 然 很 有 用 。 每 家 公 司 都 是 独 一 无 二 的 ， 因 此 ， 您 的 风 险 对 您 来 说 也 是 独 一 无 二 的 。 但 是 ， 很 难 知 道 什 么 是 正 确 的 测 试 级 别 。 您 可 以 使 用 以 下 内 容 作 为 我 们 在 行 业 中 看 到 的 粗 略 指 南 ： 1 . 如 果 你 不 存 储 特 别 敏 感 的 数 据 例 如 ， 您 可 能 会 提 供 网 站 正 常 运 行 时 间 监 控 工 具 并 且 不 存 储 特 别 敏 感 的 数 据 。 在 您 成 长 到 足 以 成 为 特 定 目 标 之 前 ， 您 可 能 只 需 要 担 心 那 些 寻 找 轻 松 选 择 的 人 会 不 加 区 分 地 进 行 黑 客 攻 击 。 如 果 是 这 样 ， 您 更 有 可 能 只 需 要 自 动 漏 洞 扫 为 什 么 要 进 行 安 全 测 试 ？ 在 个 人 安 全 测 试 之 前 考 虑 策 略
描 。 专 注 于 任 何 暴 露 在 互 联 网 上 （ 或 可 能 暴 露 在 外 ） 的 系 统 ， 如 任 何 远 程 访 问 （ V P N 、 远 程 管 理 员 登 录 ） 、 防 火 墙 、 网 站 或 应 用 程 序 、 A P I ， 以 及 可 能 偶 然 发 现 自 己 在 线 的 系 统 （ 云 平 台 内 的 任 何 东 西 都 可 以 太 容 易 被 意 外 放 到 互 联 网 上 ） 。 2 .   如 果 您 存 储 客 户 数 据 也 许 你 是 一 个 营 销 数 据 分 析 平 台 ， 所 以 你 可 能 会 面 临 来 自 内 部 和 犯 罪 团 伙 的 威 胁 较 小 ， 但 你 肯 定 需 要 担 心 客 户 访 问 彼 此 的 数 据 或 一 般 数 据 泄 露 。 或 者 ， 例 如 ， 您 有 一 个 应 用 程 序 ， 但 任 何 人 都 可 以 在 线 注 册 一 个 帐 户 ， 您 将 要 从 普 通 用 户 的 角 度 考 虑 “ 经 过 身 份 验 证 ” 的 渗 透 测 试 — — 但 可 能 不 是 从 一 个 有 限 的 员 工 角 度 考 虑 - 端 访 问 。 您 还 需 要 确 保 员 工 的 笔 记 本 电 脑 完 全 安 装 了 最 新 的 安 全 更 新 。 3 .   如 果 您 提 供 金 融 服 务 如 果 您 是 一 家 四 处 转 移 资 金 的 金 融 科 技 初 创 公 司 ， 您 将 需 要 担 心 恶 意 客 户 甚 至 恶 意 员 工 — — 以 及 针 对 您 的 网 络 犯 罪 团 伙 。 如 果 是 这 样 ， 您 将 需 要 考 虑 对 所 有 这 些 场 景 进 行 持 续 的 漏 洞 评 估 和 定 期 的 全 手 动 渗 透 测 试 。 4 . 如 果 你 没 有 任 何 暴 露 在 互 联 网 上 的 东 西 也 许 您 根 本 没 有 暴 露 在   I n t e r n e t   上 的 任 何 东 西 ， 或 者 没 有 开 发 面 向 客 户 的 应 用 程 序 — — 因 此 您 的 主 要 攻 击 面 是 员 工 笔 记 本 电 脑 和 云 服 务 。 在 这 种 情 况 下 ， 对 您 自 己 的 笔 记 本 电 脑 进 行 自 动 漏 洞 扫 描 是 最 有 意 义 的 ， 如 果 您 需 要 额 外 的 保 证 ， 您 可 以 考 虑 一 种 更 激 进 的 渗 透 测 试 ， 称 为 红 队 测 试 。 这 取 决 于 测 试 的 类 型 ！ 显 然 ， 自 动 化 测 试 的 好 处 是 它 们 可 以 根 据 需 要 定 期 运 行 。 虽 然 频 繁 运 行 渗 透 测 试 的 成 本 更 高 。 每 月 至 少 执 行 一 次 常 规 漏 洞 扫 描 可 以 帮 助 加 强 您 的   I T   基 础 设 施 ， 这 是 国 家 网 络 安 全 中 心   ( N C S C )   推 荐 的 。 这 种 做 法 有 助 于 公 司 关 注 永 无 止 境 的 新 威 胁 清 单 ； 每 年 都 会 报 告 超 过   1 0 , 0 0 0   个 新 漏 洞 。 除 了 定 期 的 漏 洞 扫 描 外 ， 还 建 议 在 每 次 系 统 更 改 时 运 行 扫 描 。 漏 洞 扫 描 器 的 类 型 漏 洞 扫 描 器 的 类 型 多 久 执 行 一 次 渗 透 测 试 ？
您 可 以 从 多 种 类 型 的 漏 洞 扫 描 程 序 中 进 行 选 择   —   基 于 网 络 、 基 于 代 理 、 W e b   应 用 程 序 和 基 础 架 构 。 选 择 取 决 于 您 要 保 护 的 资 产 。 网 络 扫 描 仪 的 一 些 经 典 示 例 是   N e s s u s   和   Q u a l y s 。 两 者 都 是 市 场 领 导 者 ， 并 提 供 强 大 的 安 全 性 和 漏 洞 覆 盖 率 。 如 果 您 想 要 一 个 易 于 上 手 的 工 具 ， 您 可 以 考 虑 的 一 个 现 代 替 代 方 案 是 I n t r u d e r 。 这 种 在 线 漏 洞 扫 描 程 序 是 专 门 开 发 的 ， 可 供 非 安 全 专 家 使 用 ， 同 时 提 供 高 质 量 的 检 查 ， 以 及 对 新 兴 威 胁 的 自 动 扫 描 。 渗 透 测 试 人 员 模 仿 现 实 生 活 中 的 网 络 攻 击 者 ， 但 与 威 胁 行 为 者 不 同 ， 他 们 遵 循 预 定 义 的 范 围 并 且 不 会 滥 用 组 织 的 资 产 和 数 据 。 与 漏 洞 扫 描 相 比 ， 它 们 更 有 可 能 发 现 复 杂 或 高 影 响 力 的 业 务 层 弱 点 ， 例 如 操 纵 产 品 定 价 、 使 用 客 户 帐 户 访 问 另 一 位 客 户 的 数 据 ， 或 从 最 初 的 弱 点 转 向 完 全 的 系 统 控 制 。 缺 点 是 相 比 之 下 ， 它 很 昂 贵 ， 那 么 什 么 时 候 运 行 一 个 合 适 的 时 间 呢 ？ 考 虑 上 述 风 险 评 估 的 关 键 时 间 表 ， 例 如 ， 在 您 的 产 品 开 发 之 后 但 在 您 开 始 获 取 真 实 客 户 数 据 之 前 。 或 者 在 您 持 有 一 些 非 敏 感 客 户 数 据 之 后 ， 但 在 您 开 始 持 有 工 资 或 健 康 相 关 信 息 之 前 。 一 旦 启 动 并 运 行 ， 应 该 在 重 大 更 改 后 执 行 渗 透 测 试 ， 例 如 更 改 身 份 验 证 系 统 ， 发 布 主 要 新 功 能 ； 或 者 在   6 - 1 2   个 月 的 小 变 化 之 后 （ 因 为 理 论 上 每 一 个 变 化 都 可 能 会 意 外 引 入 弱 点 ） 。 同 样 ， 这 取 决 于 您 的 风 险 水 平 ； 如 果 您 每 三 个 月 转 移 一 次 资 金 也 是 可 取 的 （ 或 更 多 ！ ） ， 但 如 果 您 处 于 风 险 范 围 的 低 端 ， 则 每   1 2   个 月 一 次 是 普 遍 接 受 的 时 间 表 。 存 在 几 种 类 型 的 渗 透 测 试 。 渗 透 测 试 可 以 寻 找 技 术 中 的 安 全 漏 洞 ， 例 如 在 您 的 外 部 和 内 部 网 络 以 及   W e b   应 用 程 序 中 。 但 是 ， 它 也 可 以 发 现 组 织 人 力 资 源 中 的 漏 洞 ， 例 如 在 社 会 工 程 的 情 况 下 。 您 选 择 的 渗 透 测 试 公 司 取 决 于 您 要 测 试 的 资 产 类 型 ， 但 也 应 考 虑 其 他 因 素 ， 例 如 认 证 、 价 格 和 经 验 。 结 论 什 么 时 候 进 行 渗 透 测 试 ？
安 全 测 试 是 一 个 关 键 的 网 络 安 全 过 程 ， 旨 在 检 测 系 统 、 软 件 、 网 络 和 应 用 程 序 中 的 漏 洞 。 其 最 常 见 的 形 式 是 漏 洞 评 估 和 渗 透 测 试 ， 但 目 标 始 终 是 在 恶 意 行 为 者 利 用 它 们 之 前 解 决 安 全 漏 洞 。 请 记 住 ， 威 胁 行 为 者 还 会 执 行 例 行 安 全 测 试 ， 以 寻 找 他 们 可 以 滥 用 的 任 何 漏 洞 。 一 个 安 全 漏 洞 就 足 以 让 他 们 发 起 大 规 模 的 网 络 攻 击 。 虽 然 这 可 能 令 人 恐 惧 ， 但 您 的 公 司 可 以 通 过 定 期 执 行 网 络 安 全 测 试 来 获 得 更 好 的 保 护 。 实 施 此 策 略 可 能 具 有 挑 战 性 ， 因 为 没 有 一 刀 切 的 安 全 测 试 解 决 方 案 。 推 荐 阅 读 ： 美 国 参 议 员 提 出 法 案 以 帮 助 私 营 企 业 抵 御 网 络 黑 客 史 上 最 高 赎 金 ： 勒 索 软 件 攻 击 威 胁 着 全 球 企 业 关 注 ： 东 京 奥 运 会 上 的 网 络 安 全 新 网 络 安 全 市 场 模 式 的   5   大 优 势 勒 索 软 件 攻 击 推 动 网 络 安 全 方 面 的 保 险 费 率 上 升   4 0 % 从 网 络 防 御 矩 阵 理 解 纷 繁 复 杂 的 安 全 市 场 美 国 众 议 院 立 法 者 提 议 增 加 C I S A 机 构 网 络 安 全 预 算 ▼ 稿 件 合 作     1 5 5 5 8 1 9 2 9 5 9     小 E 微 信 号 ： E a n q u a n 0 9 1 4
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理