隨著網(wǎng)絡(luò)安全形勢(shì)的愈加嚴(yán)峻，如今企業(yè)也越來(lái)越重視網(wǎng)絡(luò)安全建設(shè)，定期開展?jié)B透測(cè)試正在成為一種趨勢(shì)。

網(wǎng)絡(luò)安全滲透測(cè)試，能夠幫助企業(yè)從攻擊者的角度思考，快速了解企業(yè)在網(wǎng)絡(luò)防御方面的不足。通過(guò)梳理企業(yè)的IT資產(chǎn)、尋找漏洞和攻擊路徑，以便更好地修復(fù)或應(yīng)對(duì)風(fēng)險(xiǎn)。

盡管開展?jié)B透測(cè)試對(duì)于企業(yè)來(lái)說(shuō)非常重要，但是很多企業(yè)在準(zhǔn)備制定滲透測(cè)試計(jì)劃時(shí)，對(duì)于滲透測(cè)試服務(wù)的理解和需求，往往與真實(shí)服務(wù)情況存在著很多偏差。

那么，企業(yè)該如何正確認(rèn)知滲透測(cè)試工作，并有效避免誤區(qū)?

1.滲透測(cè)試的關(guān)鍵特征

對(duì)于一些企業(yè)的安全團(tuán)隊(duì)而言，很難將滲透測(cè)試與漏洞測(cè)試、漏洞懸賞以及新興的BAS(入侵和攻擊模擬)技術(shù)區(qū)分開來(lái)。確實(shí)，這些安全技術(shù)和服務(wù)在很多方面都存在重疊，但它們也都有著自己的特點(diǎn)。

從本質(zhì)上講，滲透測(cè)試是一個(gè)主要依靠安全專家或團(tuán)隊(duì)以人工方式模仿攻擊者的真實(shí)攻擊行為，其目的是在數(shù)字化基礎(chǔ)設(shè)施的不同層級(jí)，找到進(jìn)入可以攻破目標(biāo)網(wǎng)絡(luò)的最有效方法。

漏洞測(cè)試，主要是為了在尋找軟件應(yīng)用系統(tǒng)中的缺陷，并幫助組織了解如何解決它們。而漏洞懸賞計(jì)劃通常僅限于移動(dòng)或web應(yīng)用程序，可能與真正的入侵行為并不匹配。

漏洞賞金獵人的目標(biāo)只是盡快找到漏洞并提交報(bào)告以獲得獎(jiǎng)勵(lì)，而不是深入調(diào)查問(wèn)題與解決問(wèn)題。

入侵和攻擊模擬(BAS)是一項(xiàng)新興的安全防護(hù)技術(shù)。它遵循“掃描、漏洞利用和不斷重復(fù)”的設(shè)計(jì)邏輯，依賴于自動(dòng)化執(zhí)行測(cè)試的工具，幾乎不需要安全人員的參與。

BAS項(xiàng)目本質(zhì)上是連續(xù)的，并且會(huì)隨著網(wǎng)絡(luò)的變化動(dòng)態(tài)地產(chǎn)生測(cè)試結(jié)果。

總的來(lái)說(shuō)，滲透測(cè)試相比其他類似的安全技術(shù)，具有兩個(gè)關(guān)鍵性特征：首先，它是由人類完成的，在很大程度上取決于人工進(jìn)攻戰(zhàn)術(shù);其次，它默認(rèn)所有的數(shù)字化系統(tǒng)都會(huì)存在安全缺陷，需要全面的安全評(píng)估，并根據(jù)受到攻擊后的危害程度確定修復(fù)的優(yōu)先級(jí)。

2.考慮價(jià)值而不是成本

根據(jù)測(cè)試方法和目標(biāo)的不同，滲透測(cè)試通常分為外部測(cè)試、內(nèi)部測(cè)試、盲測(cè)、針對(duì)性測(cè)試等。

然而，很多企業(yè)為了節(jié)省成本，往往會(huì)選擇收費(fèi)更便宜的測(cè)試提供商和測(cè)試方式，并認(rèn)為各種類型測(cè)試的結(jié)果會(huì)很相似，但事實(shí)并非如此。

首先，與大多數(shù)服務(wù)一樣，滲透測(cè)試的程度差異很大，既有覆蓋網(wǎng)絡(luò)所有區(qū)域的廣泛測(cè)試，也有針對(duì)網(wǎng)絡(luò)中少數(shù)區(qū)域的非廣泛測(cè)試。

其次，提供滲透測(cè)試服務(wù)的公司很多，這些公司都有各自的優(yōu)勢(shì)和弱點(diǎn)，他們的技術(shù)也各有千秋，呈現(xiàn)測(cè)試結(jié)果的方式也有好有壞。企業(yè)有必要確保所選測(cè)試團(tuán)隊(duì)的能力能夠滿足測(cè)試需要。

隨著數(shù)字化轉(zhuǎn)型的深入，各種數(shù)據(jù)資產(chǎn)對(duì)企業(yè)而言是無(wú)價(jià)的，一旦數(shù)據(jù)被非法泄露，組織的商譽(yù)會(huì)受到嚴(yán)重?fù)p害。

而如果攻擊者的目標(biāo)是為了勒索錢財(cái)，他們索要的贖金數(shù)額通常也會(huì)遠(yuǎn)高于滲透測(cè)試的成本預(yù)算。

因此，考慮到與網(wǎng)絡(luò)攻擊造成的經(jīng)濟(jì)損失相比，投入到滲透測(cè)試的成本可以說(shuō)是微不足道的。企業(yè)應(yīng)該根據(jù)實(shí)際需求，專注于尋找從測(cè)試中獲得的價(jià)值，而不是成本。

3.滲透測(cè)試的方法和流程

滲透測(cè)試方法

• 黑盒測(cè)試：將測(cè)試對(duì)象看作一個(gè)黑盒子，安全不考慮測(cè)試對(duì)象的內(nèi)部結(jié)構(gòu);
• 白盒測(cè)試：把測(cè)試對(duì)象看作一個(gè)打開的盒子，測(cè)試人員一句測(cè)試對(duì)象內(nèi)部邏輯結(jié)構(gòu)相關(guān)的信息，設(shè)計(jì)或選擇測(cè)試用例;
• 灰盒測(cè)試：介于白盒與黑盒之間，是基于對(duì)測(cè)試對(duì)象內(nèi)部細(xì)節(jié)有限認(rèn)知的軟件測(cè)試方法。

滲透測(cè)試目標(biāo)

主機(jī)操作系統(tǒng)的測(cè)試、數(shù)據(jù)庫(kù)系統(tǒng)的測(cè)試、應(yīng)用系統(tǒng)的測(cè)試、網(wǎng)絡(luò)設(shè)備的測(cè)試。

滲透測(cè)試過(guò)程

滲透測(cè)試有一個(gè)執(zhí)行標(biāo)準(zhǔn)(PTES)，其核心理念是通過(guò)建立起進(jìn)行滲透測(cè)試所需要的基本準(zhǔn)則基線，來(lái)定義一次真正的滲透測(cè)試過(guò)程。

標(biāo)準(zhǔn)將滲透測(cè)試過(guò)程分為七個(gè)階段，依次為：前期交互階段、情報(bào)收集階段、威脅建模階段、漏洞分析階段、滲透攻擊階段、后滲透攻擊階段、報(bào)告階段。

前期交互階段

在前期交互階段，滲透測(cè)試團(tuán)隊(duì)與客戶組織主要進(jìn)行交互討論。該階段通常涉及收集客戶需求、準(zhǔn)備測(cè)試計(jì)劃、定義測(cè)試范圍與邊界、定義業(yè)務(wù)目標(biāo)、項(xiàng)目管理與規(guī)劃等活動(dòng)。

滲透測(cè)試首先必須將實(shí)施方法、實(shí)施時(shí)間 、實(shí)施人員，實(shí)施工具等具體的實(shí)施方案提交給客戶，并得到客戶的相應(yīng)書面委托和授權(quán)。

應(yīng)該做到客戶對(duì)滲透測(cè)試所有細(xì)節(jié)和風(fēng)險(xiǎn)的知曉、所有過(guò)程都在客戶的控制下進(jìn)行。

信息收集分析階段

信息收集是每一步滲透攻擊的前提，通過(guò)信息收集可以有針對(duì)性的制定模擬攻擊測(cè)試計(jì)劃，提高模擬攻擊的成功率，同時(shí)可以有效的降低攻擊測(cè)試對(duì)系統(tǒng)正常運(yùn)行造成的不利影響。

這一步主要包括白盒收集、人力資源情報(bào)、踩點(diǎn)、尋找外網(wǎng)入口以及識(shí)別防御機(jī)制。

威脅建模階段

威脅建模主要使用情報(bào)搜集階段所活的到的信息，來(lái)標(biāo)識(shí)出目標(biāo)系統(tǒng)上可能存在的安全漏洞與弱點(diǎn)。

在威脅建模階段，通常需要將客戶組織作為敵手來(lái)看待，然后以攻擊者的視角和思維來(lái)嘗試?yán)媚繕?biāo)系統(tǒng)的弱點(diǎn)。

此階段的工作主要為：業(yè)務(wù)流程分析、威脅對(duì)手/社區(qū)分析、威脅對(duì)手/社區(qū)分析。

漏洞分析階段

漏洞分析階段主要是從前面幾個(gè)環(huán)節(jié)獲取的信息分析和理解，哪些攻擊途徑是可行的。

特別需要重點(diǎn)分析端口和漏洞掃描結(jié)果，提取到的服務(wù)“旗幟”信息，以及在情報(bào)收集環(huán)節(jié)中得到的其他關(guān)鍵信息。

滲透攻擊階段

滲透攻擊主要是針對(duì)目標(biāo)系統(tǒng)實(shí)施深入研究和測(cè)試的滲透攻擊，并不是進(jìn)行大量漫無(wú)目的的滲透測(cè)試。

后滲透攻擊階段

后滲透攻擊階段主要是從已經(jīng)攻陷了的客戶組織系統(tǒng)標(biāo)識(shí)出關(guān)鍵的基礎(chǔ)設(shè)施，尋找最具有價(jià)值信息和資產(chǎn)。主要包括：基礎(chǔ)設(shè)施分析、高價(jià)值目標(biāo)識(shí)別、掠奪敏感信息、掩蹤滅跡、權(quán)限維持。

滲透測(cè)試報(bào)告

報(bào)告是滲透測(cè)試過(guò)程中最為重要的因素，將使用報(bào)告文檔來(lái)交流在滲透測(cè)試過(guò)程中做了哪些，如何做的，以及最為重要的就是告訴客戶組織如何修復(fù)所發(fā)現(xiàn)的安全漏洞與弱點(diǎn)。

4.滲透測(cè)試的誤區(qū)

從測(cè)試中獲得一個(gè)好的結(jié)果只是一個(gè)良好的開始，但企業(yè)不應(yīng)該沾沾自喜，這也不代表企業(yè)的網(wǎng)絡(luò)安全防護(hù)工作高枕無(wú)憂。

只要組織的數(shù)字化系統(tǒng)還在運(yùn)行，它就時(shí)刻會(huì)面臨各種不斷出現(xiàn)的新威脅。網(wǎng)絡(luò)犯罪分子會(huì)不停地尋找系統(tǒng)中的漏洞，如果滲透測(cè)試間隔時(shí)間長(zhǎng)，他們就有機(jī)會(huì)領(lǐng)先于企業(yè)發(fā)現(xiàn)可利用的新漏洞。

良好的測(cè)試結(jié)果只是肯定了過(guò)去建設(shè)的成績(jī)，并激勵(lì)組織繼續(xù)重視在安全方面的投入。因此，企業(yè)應(yīng)該持續(xù)性進(jìn)行滲透測(cè)試，以消除新出現(xiàn)的威脅，并確保系統(tǒng)沒有威脅。

此外，關(guān)于滲透測(cè)試還有一個(gè)長(zhǎng)期存在的誤區(qū)，那就是外部人員執(zhí)行滲透測(cè)試會(huì)比內(nèi)部人員更有效，其原因是外部人員對(duì)企業(yè)的數(shù)字化系統(tǒng)并不熟悉，因此會(huì)更加客觀。

雖然客觀性是滲透測(cè)試有效性的關(guān)鍵，但了解業(yè)務(wù)系統(tǒng)并不就意味著不客觀。

其實(shí)滲透測(cè)試可由企業(yè)內(nèi)部員工、專業(yè)服務(wù)商或其他第三方機(jī)構(gòu)完成。滲透測(cè)試由標(biāo)準(zhǔn)程序和性能度量組成，只要測(cè)試者能夠嚴(yán)格遵循測(cè)試指導(dǎo)原則，測(cè)試結(jié)果就是有效的。

對(duì)于企業(yè)而言，選擇的重點(diǎn)不應(yīng)該放在聘請(qǐng)外部或內(nèi)部測(cè)試者上，而是應(yīng)該放在尋找能夠出色完成工作的測(cè)試者上。

5.結(jié)語(yǔ)

隨著網(wǎng)絡(luò)安全威脅的不斷擴(kuò)展與升級(jí)， 滲透測(cè)試目前已經(jīng)成為現(xiàn)代企業(yè)組織主動(dòng)識(shí)別安全漏洞與潛在風(fēng)險(xiǎn)的關(guān)鍵過(guò)程。

但不幸的是，仍然有很多組織并未認(rèn)識(shí)到主動(dòng)評(píng)估安全態(tài)勢(shì)的價(jià)值，而一些組織盡管開展了滲透測(cè)試工作，但主要目的也只是為了滿足合規(guī)要求。

但不管企業(yè)開展?jié)B透測(cè)試的目的是什么，只要測(cè)試結(jié)果能被用于做出有意義的改變，這項(xiàng)工作就是成功和有效的。

企業(yè)應(yīng)該從測(cè)試的關(guān)鍵發(fā)現(xiàn)中吸取教訓(xùn)，并采取適當(dāng)?shù)男袆?dòng)來(lái)加強(qiáng)組織的安全防御。