压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

很多 CISO 極其信賴滲透測試——對公司基礎(chǔ)設(shè)施的模擬攻擊（通常是網(wǎng)絡(luò)基礎(chǔ)設(shè)施，但實(shí)體安全測試也會落入此模擬攻擊范圍）。意大利國家電力公司 Enel 的 CISO Yuri Rassega 也不例外。他表示，自己的公司每年對公司關(guān)鍵資產(chǎn)執(zhí)行約 400 次深度漏洞測試，平均每天超過一次。

但若未清晰界定測試范圍并達(dá)成共識，事情就有可能很快跑偏：網(wǎng)絡(luò)安全公司 Coalfire 對愛荷華州法院的滲透測試就導(dǎo)致兩名員工因非法侵入被捕。

正如 Coalfire 哀嘆的：Coalfire 和州法院管理處認(rèn)為已就工作范圍中所含位置的實(shí)體安全評估達(dá)成了一致……最近的事件卻表明他們對該協(xié)議的范圍有不一樣的解釋。

滲透測試本身的定義也會出現(xiàn)類似的混亂。

漏洞獎(jiǎng)勵(lì)公司 HackerOne 的技術(shù)項(xiàng)目經(jīng)理 Niels Schweisshelm 透露：一定不能弄混滲透測試和漏洞評估。漏洞評估的結(jié)果是系統(tǒng)中漏洞的概覽，而滲透測試是通過結(jié)合并利用上述漏洞來揭示整體影響。

簡言之，黑客侵入某系統(tǒng)可不僅僅是靠發(fā)現(xiàn)一個(gè)可打開網(wǎng)絡(luò)的大漏洞。

惡意黑客入侵系統(tǒng)通常是先找出一個(gè)低級漏洞，然后結(jié)合其他一系列低級漏洞，一步步獲取更高權(quán)限。

滲透測試的艱難時(shí)刻：他們決定進(jìn)入完全 “紅隊(duì)” 模式

客戶和滲透測試員之間的絕對清晰非常重要。

正如 Synopsys 高級首席顧問 Andrew van der Stock 強(qiáng)調(diào)的：真正的攻擊者沒有交戰(zhàn)規(guī)則、時(shí)間限制和界限，但我們有。

我知道某前任雇主的一次滲透測試中就沒提到數(shù)據(jù)滲漏方面的規(guī)則。一位年輕的團(tuán)隊(duì)成員發(fā)現(xiàn)了一個(gè)默認(rèn)高權(quán)限賬戶。這是個(gè)應(yīng)該上報(bào)的發(fā)現(xiàn)，但他們決定進(jìn)入完全 ‘紅隊(duì)’ 模式，克隆并下載了一個(gè)大對象以供后續(xù)分析，抽干了系統(tǒng)的磁盤空間。該事件導(dǎo)致客戶和測試員都陷入了艱難對話……

溝通與許可為王。

謹(jǐn)慎選擇供應(yīng)商

Context Information Security 首席顧問兼紅隊(duì)主管 Rob Downie 稱：大范圍和高操作自由度的滲透測試常被歸入 “紅隊(duì)” 或 “模擬攻擊” 范疇討論。這種類型的測試著眼全部安全控制，往往針對更高級和完備的防御團(tuán)隊(duì)，評估人員、過程和技術(shù)聯(lián)動(dòng)中的漏洞。

這可真實(shí)剖析公司防御表現(xiàn)，但也需要一些高級專業(yè)技能以安全可控的方式來規(guī)劃、風(fēng)險(xiǎn)管理和交付。這就使得供應(yīng)商選擇對尋求此類服務(wù)的公司企業(yè)而言更加重要了。

優(yōu)秀滲透測試員需具備哪些素質(zhì)？

很明顯，對操作系統(tǒng)和協(xié)議的深度理解是關(guān)鍵。對應(yīng)用及工具工作原理和互動(dòng)模式的敏銳目光，有助發(fā)現(xiàn)可組合使用的低級漏洞。

但 F-Secure Consulting 的技術(shù)總監(jiān) David Hartley 強(qiáng)調(diào)，良好的攻擊性安全技術(shù)還僅僅是個(gè)開始。他指出：最終，滲透測試員工具箱中最重要的工具是 Word 和 Powerpint。

客戶要的是結(jié)果，滲透測試員技術(shù)有多高明無關(guān)緊要，滲透測試對客戶的價(jià)值是通過測試結(jié)果的有用程度和可執(zhí)行程度體現(xiàn)的。滲透測試是深度技術(shù)評估，非技術(shù)人員未必總能理解其結(jié)果。

他補(bǔ)充道，幫助董事會理解測試發(fā)現(xiàn)的重要性，將測試結(jié)果映射至業(yè)務(wù)風(fēng)險(xiǎn)上，以及幫助客戶解決這些風(fēng)險(xiǎn)，才是真正的挑戰(zhàn)。在這方面，以攻擊路徑圖的圖形化方式呈現(xiàn)，往往比滿屏的服務(wù)器 shell 截圖有效得多。

專家們都用哪些工具？

攻擊安全專家們都用哪些小工具針對你的公司呢？HackerOne 技術(shù)項(xiàng)目經(jīng)理 Niels Schweisshelm 解釋道：滲透測試員使用什么工具取決于評估的類型。

大多數(shù)滲透測試員會用 Burp Suite 執(zhí)行 Web 應(yīng)用滲透測試，Nmap 或 Masscan 則在基礎(chǔ)設(shè)施滲透測試中更為重要。無論什么類型的測試活動(dòng)，滲透測試員都必須了解測試目標(biāo)，能夠改造現(xiàn)有工具或撰寫新工具來適應(yīng)測試需求。

Synopsys 的 van der Stock 補(bǔ)充道：面對這個(gè)問題，大部分人會給出自己最鐘愛的工具或套裝名稱，比如 “Burp Suite Pro” 或 “Kali”，但滲透測試工具包中最本質(zhì)的部分是他們的腦子。

如果不具備攻擊思維，沒有任何工具幫得了你。第二重要的工具，是可供實(shí)操的脆弱應(yīng)用，比如 OWASP Juice Shop 或任意數(shù)量的奪旗 (CTF) 虛擬機(jī)。滲透測試員可以使用這些脆弱系統(tǒng)磨礪在現(xiàn)實(shí)世界中極少有機(jī)會用到的技術(shù)。

最后，滲透測試員需謀劃作惡。濫用用例生成與驗(yàn)證是滲透測試員的主要技術(shù)。如果滲透測試員認(rèn)為自己的工作就是照看自動(dòng)化工具和分類結(jié)果，那這工作就不僅是消磨精神，也不是真正的滲透測試，而僅僅是漏洞掃描了。現(xiàn)在找出的大多數(shù)高影響度漏洞極少是可自動(dòng)化檢測和利用的。

OWASP Juice Shop：

https://www2.owasp.org/www-project-juice-shop/