社区编辑申请
注册/登录
五大类渗透测试的区别
安全 应用安全
渗透测试根据不同的应用场景有着不同的工作内容,了解它们之间的区别才能够更好地定义渗透测试项目的实施范围,采用匹配的安全专家或服务,以最终实现安全目标。

渗透测试已经成为安全体系的评估、运营和改进的基础常规工作,是现代组织用来加强网络安全态势和防止数据泄露的有效方法。但渗透测试根据不同的应用场景有着不同的工作内容,了解它们之间的区别才能够更好地定义渗透测试项目的实施范围,采用匹配的安全专家或服务,以最终实现安全目标。

一、网络渗透测试

旨在识别网络基础设施中的弱点,无论是在本地还是在云环境中,网络渗透测试都是为确保业务系统安全性的最常见、最关键的测试之一。具体包括不安全的配置、漏洞发现和缺失的补丁等,可分为内外两种不同的角度。

外部渗透测试主要是通过互联网访问发现可能被攻击者利用的脆弱性,进而访问目标机构的关键业务系统或数据,这种测试是从“局外人”的角度进行的。内部渗透测试则是基于企业的内部环境,假设已经进入到机构的内部网络,从“内部人”角度在内网中寻找并窃取敏感信息。

一般来说,外部弱点被认为比内部弱点构成更严重的威胁。首先,攻击者必须先克服外部的障碍,然后才能访问到内部网络。如果以前没有进行过任何类型的渗透测试,从外部或“边界”测试通常是最好的开始。边界是攻击者最容易触达的,任何可以通过互联网访问的地方都是最直接的威胁。

二、Web渗透测试

这种类型的测试目的是发现网站和Web应用程序之间的漏洞,如电子商务平台、内容管理系统、客户关系管理系统等等。Web渗透测试涉及整个web应用程序的安全性评估,包括底层逻辑和一些定制化的功能。

web渗透测试中常见的漏洞包括,数据库注入、跨站脚本和身份验证等。如果想了解更多的Web应用程序漏洞及其相关信息,可参考查阅OWASP的十大Web应用程序安全项目。

三、自动化渗透测试

人工渗透测试最大的问题是成本,水平越高的渗透团队收费越高,国内业界顶尖团队的客单价可达数百万元。因此,自动化渗透测试近年来开始受到广泛关注。

当然,完全自动化的渗透测试是不现实的(可能永远也不现实,即使在人工智能时代)。需要对成本和收益,以及根据被保护系统的重要程度来平衡必要性和可行性。一个业界的最佳实践是,日常的漏洞扫描+时间跨度较大的渗透测试服务。

四、社会工程

社会工程的渗透媒介是人。有两种主要的形式,一种是远程的,比如网络钓鱼或打电话、篡改音视频等以骗取内部人员的信任。另一种是物理接触(数世咨询称为近源渗透),如冒充勤杂人员或是商业/技术合作伙伴直接接触到对方的网络设施。

社会工程渗透测试的成功往往取决于“侦察”阶段收集的信息,该阶段涉及使用公开获取的开源情报(OSINT)对目标个人或组织进行研究。建立了更为精确的目标画像后,渗透测试人员可以基于这些精准信息创建定制的渗透策略。

五、红队

红蓝对抗起源于军事演习,其将信息技术、人文社交和现实世界结合起来,实施更为全面真实攻击场景。近年来,国内监管机构主导的大型实战攻防活动取得了非常好的效果,从安全意识到安全水平,再到整个安全行业的发展,都起到了巨大的推动作用。

传统渗透测试的目标是在给定的时间范围内找到尽可能多的漏洞,但真正的攻击者是没有时间限制的,攻击手段也是层出不穷,无所不用其极。红蓝对抗能从整体上评估一个组织的环境,了解各部分如何协同工作。采用攻击者视角、批判性思维来发现新的漏洞(即所谓的未知攻,焉之防)。

责任编辑:赵宁宁 来源: 数世咨询
相关推荐

2022-01-17 07:22:11

Web应用渗透

2022-08-09 11:10:06

网络渗透测试安全漏洞

2022-08-07 14:45:08

安全漏洞渗透测试

2022-08-03 00:03:10

2022-07-19 16:59:25

安全漏洞Web

2022-05-23 13:53:55

企业网络攻击渗透测试

2022-04-24 09:00:00

渗透测试安全数字时代

2021-12-24 11:50:57

2021-01-10 15:20:32

云渗透云计算渗透测试

2021-05-31 09:48:24

网络钓鱼渗透测试网络安全

2020-11-16 16:13:06

网络安全互联网渗透测试

2020-03-08 11:31:15

渗透测试网络攻击安全工具

2021-05-05 10:48:33

渗透测试漏洞网络攻击

2020-05-19 08:52:31

APP渗透测试终端安全

2020-09-11 11:29:34

渗透测试风险评估网络安全

2009-09-29 17:23:47

渗透测试道德黑客

2021-07-01 09:00:00

2020-11-20 09:00:00

渗透测试安全工具

2020-09-15 06:15:23

2020-09-27 16:37:13

渗透测试工具安全

同话题下的热门内容

都说区块链“安全”,为什么 DeFi 黑客如此猖獗?关于Web渗透测试需要知道的一切:完整指南如何保护智能家居避免黑客攻击Verizon:物联网/移动网络攻击导致停机时间增加 22%黑客攻击接连不断,多链区块链愿景还存在吗?微软表示将向内部网络安全专家共享数据 为企业提供更安全保护微软365网络钓鱼攻击中滥用Snapchat和Amex网站如何逐步执行数据风险评估

编辑推荐

权威解读 | 网络安全等级保护2.0标准体系以及主要标准百亿级访问量的实时监控系统如何实现?浅谈反浏览器指纹追踪符号执行:利用Angr进行简单CTF逆向分析拿什么拯救你,我的网络安全
我收藏的内容
点赞
收藏

51CTO技术栈公众号