渗透测试评估风险的简要指南Part 2

安全 应用安全
在上一篇文章中我们了解了风险评估的重要性,有效风险评估的三个阶段以及渗透测试的三个类型。但是,渗透测试的风险也是存在的,下面让我们深入的了解它们。

上一篇文章中我们了解了风险评估的重要性,有效风险评估的三个阶段以及渗透测试的三个类型。但是,渗透测试的风险也是存在的,下面让我们深入的了解它们。

[[342050]]

渗透测试要考虑的因素

如果由经验不足的测试人员进行或测试时出现错误,则渗透测试带来的损害可能大于收益。在进行测试之前,您需要考虑此测试的主要缺点。

以下是一些关键的渗透测试风险:

  • 为错误操作付出高昂代价。渗透测试人员可以使用敏感数据和基础架构。如果测试未正确执行,它们可能会使服务器崩溃并暴露或破坏数据。需要考虑的安全风险,尤其是在黑盒测试期间。
  • 不合规的测试会让结果产生偏移。如果您的安全团队知道即将进行的测试或自己进行测试,他们可能会事先为此做好准备。任何安全评估的重点都是要按照规定的模式去实施的。如果在不合规的环境中进行渗透测试,那所得到结果就没有意义了。
  • 时间和范围限制。与任何过程一样,要进行渗透测试是一项技术任务,并且需要准备报告的截止日期。这限制了渗透测试者可以使用的漏洞利用数量,特别是如果您雇用了第三方测试组织。另一方面,黑客通常没有时间计划攻击。因此,您不能依靠渗透测试的一个实例来提高网络安全性,尤其是在时间上受到严格限制的情况下。

不过,尽管如此,渗透测试带来的好处是大于风险。另外,有几种最佳做法可以帮助您解决我们所讨论的问题。

获得最佳测试结果

每个测试团队都有独特的渗透测试方法,并且每个过程都有独特的结果。我们准备了一系列操作,可以帮助您从此安全评估中获得最佳结果。

渗透测试评估风险的简要指南Part 2

如何改善这一过程

1. 聘请合格的第三方进行渗透测试

进行内部测试很诱人,因为它可以节省大量时间和金钱。但是,由于以下原因,它不能保证结果无偏见:

  • 可能缺乏专业知识
  • 不合规性的存在
  • 无法模拟真实的攻击

通过第三方组织,您将获得专门的渗透测试人员,并获得全新的安全控制手段。开始进行笔试之前,请与您的供应商讨论您的范围、预算、时间限制和先前抗议的结果。

2. 力争最大程度地覆盖测试

任何环境都是不可分割的系统,因此应将其作为系统而不是独立的部分进行测试。如果您只测试并保护了一部分环境,则始终存在黑客仍然能够通过操作系统、硬件或其他软件中的漏洞访问该环境的风险。低测试覆盖率和部分测试只会导致威胁依旧存在。只有在需要重新检查渗透测试后制作安全补丁时,才进行此类测试是合理的。

3. 不要急于准备测试

在攻击前阶段,测试人员评估漏洞,武器化自己并准备测试方案。但是从测试团队外部来看,攻击者攻击时,几乎没有什么准备时间,一切以实际发生威胁的状况进行。可以不时询问测试过程,但是请确保不要急于准备阶段。请记住,这是一个耗时的过程。对于黑盒测试,此阶段有时可能会占用总时长的90%。

4. 使用相关的渗透测试标准

每个测试环境都需要一种独特的方法。尽管如此,渗透测试仍有行业认可的标准。使用这些标准来指导您的内部团队,或确保您的第三方供应商使用它。最受欢迎的是:

5. 进行渗透测试时停止开发过程

渗透测试可以发现某些环境下的威胁和风险。如果您决定在测试过程中更改现有参数或部署新软件,则会影响最终结果。最好在测试之前完成您的开发活动,以保证它包含在新测试范围的环境中。

6. 测试后检查安全措施和数据的完整性

测试之后,测试团队应清除自己的足迹:关闭创建的后门程序、删除利用脚本和临时文件、反向设置更改等。但是,您应仔细检查以下内容:

  • 为测试目的而创建的安全漏洞已关闭
  • 测试人员的用户帐户已删除
  • 受损的凭证已更改

如果您选择一个高技能的测试团队,使用我们上面列出的做法,并实施控制措施以减轻发现的风险,您的网络安全将进一步提高!

7. 不要忽略补救措施

渗透测试供应商通常会在其报告中提供有关风险补救的建议。如果很少进行渗透测试(一年或更短时间)或包含大量任务,则可能会发现很多关键风险,并且补救措施将需要大量时间和金钱。

当然,为了降低成本,您可以推迟补救或仅解决最关键的问题。但是,如果您觉得没有足够的资源来执行渗透测试的结果,那么最好将自己局限于内部漏洞扫描,而不是进行全面渗透测试。

结论

风险评估是风险管理流程中难以执行但至关重要的部分。它可以帮助您评估组织的网络安全风险并确定其优先级。进行风险评估的方法很多,包括渗透测试、红队测试和基于风险的测试。但是不要怀疑此过程中渗透测试的重要性:它可以对安全控制进行复杂的评估,并会模拟对受保护环境的真实攻击。

 

责任编辑:赵宁宁 来源: 嘶吼网
相关推荐

2020-09-11 11:29:34

渗透测试风险评估网络安全

2017-07-24 17:00:49

2022-01-17 07:22:11

Web应用渗透

2016-02-16 13:27:20

2022-01-18 07:40:27

渗透测试黑客

2010-06-19 14:44:08

2020-10-10 10:14:42

Linux内核

2020-10-12 10:22:16

Linux内核

2017-03-30 07:56:30

测试前端代码

2014-07-18 14:44:13

2016-10-07 21:56:28

2023-01-31 13:55:33

Java循环语句

2023-06-04 17:17:46

2020-06-29 08:10:44

物联网安全技术

2020-12-02 09:00:00

大数据互联网工具

2023-07-13 23:21:02

2021-03-30 13:19:42

物联网IoT

2016-09-09 01:14:17

2023-08-31 00:02:28

2010-09-07 16:09:29

点赞
收藏

51CTO技术栈公众号