建站
咨詢
售后
建站咨詢
新聞中心
滲透測試已經(jīng)成為安全體系的評估、運營和改進(jìn)的基礎(chǔ)常規(guī)工作，是現(xiàn)代組織用來加強網(wǎng)絡(luò)安全態(tài)勢和防止數(shù)據(jù)泄露的有效方法。但滲透測試根據(jù)不同的應(yīng)用場景有著不同的工作內(nèi)容，了解它們之間的區(qū)別才能夠更好地定義滲透測試項目的實施范圍，采用匹配的安全專家或服務(wù)，以最終實現(xiàn)安全目標(biāo)。
創(chuàng)新互聯(lián)專業(yè)為企業(yè)提供高青網(wǎng)站建設(shè)、高青做網(wǎng)站、高青網(wǎng)站設(shè)計、高青網(wǎng)站制作等企業(yè)網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計與制作、高青企業(yè)網(wǎng)站模板建站服務(wù)，十多年高青做網(wǎng)站經(jīng)驗，不只是建網(wǎng)站，更提供有價值的思路和整體網(wǎng)絡(luò)服務(wù)。
一、網(wǎng)絡(luò)滲透測試
旨在識別網(wǎng)絡(luò)基礎(chǔ)設(shè)施中的弱點，無論是在本地還是在云環(huán)境中，網(wǎng)絡(luò)滲透測試都是為確保業(yè)務(wù)系統(tǒng)安全性的最常見、最關(guān)鍵的測試之一。具體包括不安全的配置、漏洞發(fā)現(xiàn)和缺失的補丁等，可分為內(nèi)外兩種不同的角度。
外部滲透測試主要是通過互聯(lián)網(wǎng)訪問發(fā)現(xiàn)可能被攻擊者利用的脆弱性，進(jìn)而訪問目標(biāo)機(jī)構(gòu)的關(guān)鍵業(yè)務(wù)系統(tǒng)或數(shù)據(jù)，這種測試是從“局外人”的角度進(jìn)行的。內(nèi)部滲透測試則是基于企業(yè)的內(nèi)部環(huán)境，假設(shè)已經(jīng)進(jìn)入到機(jī)構(gòu)的內(nèi)部網(wǎng)絡(luò)，從“內(nèi)部人”角度在內(nèi)網(wǎng)中尋找并竊取敏感信息。
一般來說，外部弱點被認(rèn)為比內(nèi)部弱點構(gòu)成更嚴(yán)重的威脅。首先，攻擊者必須先克服外部的障礙，然后才能訪問到內(nèi)部網(wǎng)絡(luò)。如果以前沒有進(jìn)行過任何類型的滲透測試，從外部或“邊界”測試通常是最好的開始。邊界是攻擊者最容易觸達(dá)的，任何可以通過互聯(lián)網(wǎng)訪問的地方都是最直接的威脅。
二、Web滲透測試
這種類型的測試目的是發(fā)現(xiàn)網(wǎng)站和Web應(yīng)用程序之間的漏洞，如電子商務(wù)平臺、內(nèi)容管理系統(tǒng)、客戶關(guān)系管理系統(tǒng)等等。Web滲透測試涉及整個web應(yīng)用程序的安全性評估，包括底層邏輯和一些定制化的功能。
web滲透測試中常見的漏洞包括，數(shù)據(jù)庫注入、跨站腳本和身份驗證等。如果想了解更多的Web應(yīng)用程序漏洞及其相關(guān)信息，可參考查閱OWASP的十大Web應(yīng)用程序安全項目。
三、自動化滲透測試
人工滲透測試最大的問題是成本，水平越高的滲透團(tuán)隊收費越高，國內(nèi)業(yè)界頂尖團(tuán)隊的客單價可達(dá)數(shù)百萬元。因此，自動化滲透測試近年來開始受到廣泛關(guān)注。
當(dāng)然，完全自動化的滲透測試是不現(xiàn)實的(可能永遠(yuǎn)也不現(xiàn)實，即使在人工智能時代)。需要對成本和收益，以及根據(jù)被保護(hù)系統(tǒng)的重要程度來平衡必要性和可行性。一個業(yè)界的最佳實踐是，日常的漏洞掃描+時間跨度較大的滲透測試服務(wù)。
四、社會工程
社會工程的滲透媒介是人。有兩種主要的形式，一種是遠(yuǎn)程的，比如網(wǎng)絡(luò)釣魚或打電話、篡改音視頻等以騙取內(nèi)部人員的信任。另一種是物理接觸(數(shù)世咨詢稱為近源滲透)，如冒充勤雜人員或是商業(yè)/技術(shù)合作伙伴直接接觸到對方的網(wǎng)絡(luò)設(shè)施。
社會工程滲透測試的成功往往取決于“偵察”階段收集的信息，該階段涉及使用公開獲取的開源情報(OSINT)對目標(biāo)個人或組織進(jìn)行研究。建立了更為精確的目標(biāo)畫像后，滲透測試人員可以基于這些精準(zhǔn)信息創(chuàng)建定制的滲透策略。
五、紅隊
紅藍(lán)對抗起源于軍事演習(xí)，其將信息技術(shù)、人文社交和現(xiàn)實世界結(jié)合起來，實施更為全面真實攻擊場景。近年來，國內(nèi)監(jiān)管機(jī)構(gòu)主導(dǎo)的大型實戰(zhàn)攻防活動取得了非常好的效果，從安全意識到安全水平，再到整個安全行業(yè)的發(fā)展，都起到了巨大的推動作用。
傳統(tǒng)滲透測試的目標(biāo)是在給定的時間范圍內(nèi)找到盡可能多的漏洞，但真正的攻擊者是沒有時間限制的，攻擊手段也是層出不窮，無所不用其極。紅藍(lán)對抗能從整體上評估一個組織的環(huán)境，了解各部分如何協(xié)同工作。采用攻擊者視角、批判性思維來發(fā)現(xiàn)新的漏洞(即所謂的未知攻，焉之防)。
新聞標(biāo)題：五大類滲透測試的區(qū)別
本文URL：http://www.dlmjj.cn/article/cosojps.html
