<ins id="tnc6t"></ins>
<ins id="tnc6t"><address id="tnc6t"><output id="tnc6t"></output></address></ins>
  • <input id="tnc6t"></input>

      <button id="tnc6t"></button>

        1. 企業開展滲透測試的5個要素

          2023年06月03日

          滲透測試是指安全專業人員在企業的許可下,對其網絡或數字化系統進行模擬攻擊并評估其安全性。然而,很多企業在準備開展滲透測試工作時,他們對滲透測試服務的理解和需求,往往與現實情況存在著很多偏差和誤區。因此,要做好滲透測試并不容易。研究人員認為,組織只要做好以下幾點,才能夠實現高質量的滲透測試,并產生積極的安全紅利,而不是浪費時間和資源。



          01  準確認知滲透測試 

          對于一些企業的安全團隊而言,很難將滲透測試與漏洞測試、漏洞懸賞以及新興的BAS(入侵和攻擊模擬)技術區分開來。確實,這些安全技術和服務在很多方面都存在重疊,但它們也都有著自己的特點。

          從本質上講,滲透測試是一個主要依靠安全專家或團隊以人工方式模仿攻擊者的真實攻擊行為,其目的是在數字化基礎設施的不同層級找到進入可以攻破目標網絡的最有效方法。漏洞測試,主要是為了在尋找軟件應用系統中的缺陷,并幫助組織了解如何解決它們。而漏洞懸賞計劃通常僅限于移動或web應用程序,可能與真正的入侵行為并不匹配。漏洞賞金獵人的目標只是盡快找到漏洞并提交報告以獲得獎勵,而不是深入調查問題與解決問題。

          入侵和攻擊模擬(BAS)是一項新興的安全防護技術。它遵循“掃描、漏洞利用和不斷重復”的設計邏輯,依賴于自動化執行測試的工具,幾乎不需要安全人員的參與。BAS項目本質上是連續的,并且會隨著網絡的變化動態地產生測試結果。

          總的來說,滲透測試相比其他類似的安全技術,具有兩個關鍵性特征:首先,它是由人類完成的,在很大程度上取決于人工進攻戰術;其次,它默認所有的數字化系統都會存在安全缺陷,需要全面的安全評估,并根據受到攻擊后的危害程度確定修復的優先級。


          02  選擇專業的測試團隊

          提供滲透測試服務的公司很多。這些公司都有各自的優勢和弱點,他們的技術也各有千秋,呈現測試結果的方式也有好有壞。企業有必要確保所選測試團隊的能力能夠滿足測試需要,在選擇時需要考慮以下因素: 


          03  選擇合適的測試方式 


          根據測試方法和目標的不同,滲透測試通常分為以下集中類型,企業組織應該根據自己的實際需求進行選擇。

          由于企業網絡安全人才的不足,企業組織往往缺乏能夠有效進行滲透測試的合格專家,因此需要定期使用外部滲透測試人員。當然在實際測試中,組織內部員工需要與外部測試團隊密切合作,并在測試過程中發揮自己的作用,這將拓展他們的安全視野,同時提高技能。


          04  合理設置測試時間與頻率

          安全滲透測試的持續時間通常從三周到一個月不等,具體取決于測試任務的規模和要求。即使企業的攻擊面相對較小,也可能需要花費額外的時間對潛在的攻擊入口進行發現和分析。理想情況下,企業組織應該在目標應用程序進行重大版本升級或更新,以及部署新的應用系統時進行滲透測試。實踐表明,很多長期持續的滲透測試工作往往是多余的,企業組織通常每年執行兩到三次這樣的安全測試與分析就足夠了。


          05  重視編寫測試報告

          在一次完整的滲透測試工作流程中,實際上有近一半時間都會用在如何編寫報告上。大量報告實踐表明,編寫一份高質量的滲透測試報告需要仔細的計劃、關注細節和充分的溝通。對于滲透測試工程師而言,不僅需要具備高超的滲透測試水平,同樣也需要把各種專業、深奧的安全技術問題描述得通俗易懂,讓非安全專業人士也可以理解。

          滲透測試報告應該包含之前所有階段之中滲透測試團隊所獲取的關鍵情報信息、探測和發掘出的系統安全漏洞、成功滲透攻擊的過程,以及造成業務影響后果的攻擊途徑,同時還要站在防御者的角度上,幫助他們分析安全防御體系中的薄弱環節、存在的問題,以及修補技術方案。


          結語

          隨著網絡安全威脅的不斷擴展與升級, 滲透測試目前已經成為現代企業組織主動識別安全漏洞與潛在風險的關鍵過程。但不幸的是,仍然有很多組織并未認識到主動評估安全態勢的價值,而一些組織盡管開展了滲透測試工作,但主要目的也只是為了滿足合規要求。

          不管企業開展滲透測試的目的是什么,只要測試結果能被用于做出有意義的改變,這項工作就是成功和有效的。滲透測試可以對組織的安全狀況提供有價值的見解,并突出那些需要盡快改進的領域。企業應該從測試的關鍵發現中吸取教訓,并采取適當的行動來加強組織的安全防御。這可能涉及為員工提供額外的網絡安全培訓和意識計劃,增強安全監控和事件響應能力。



          江蘇國駿信息科技有限公司 蘇ICP備17037372號-2 電話:400-6776-989; 0516-83887908 郵箱:manager@jsgjxx.com          

          <ins id="tnc6t"></ins>
          <ins id="tnc6t"><address id="tnc6t"><output id="tnc6t"></output></address></ins>
        2. <input id="tnc6t"></input>

            <button id="tnc6t"></button>

              1. {关键词}