網(wǎng)絡(luò)在給我們帶來無限方便的同時(shí)，也隱藏著無數(shù)危機(jī)。2022年網(wǎng)絡(luò)攻擊造成的損失創(chuàng)下新的歷史記錄，根據(jù)Cybersecurity Ventures最新發(fā)布的“2022年網(wǎng)絡(luò)犯罪報(bào)告”，預(yù)計(jì)2023年網(wǎng)絡(luò)犯罪將給全世界造成8萬億美元的損失。同時(shí)在市場(chǎng)和以網(wǎng)絡(luò)安全法為代表的一系列法律法規(guī)的雙重作用下，網(wǎng)絡(luò)安全日益受到了重視，這使各企業(yè)機(jī)構(gòu)必須不斷地提高網(wǎng)絡(luò)的安全防護(hù)能力及安全運(yùn)維能力。
為此，可以對(duì)整體信息系統(tǒng)有一個(gè)具體的安全認(rèn)識(shí)的服務(wù)——滲透測(cè)試得到了廣泛的認(rèn)可，下面具體說一下什么是滲透測(cè)試，以及如何進(jìn)行滲透測(cè)試服務(wù)？
滲透測(cè)試
一、什么是滲透測(cè)試
滲透測(cè)試是一種從攻擊者的角度來對(duì)客戶授權(quán)的測(cè)試目標(biāo)進(jìn)行安全評(píng)估的手段，在對(duì)現(xiàn)有信息系統(tǒng)不造成損害的前提下，由具備高技能和高素質(zhì)的安全服務(wù)人員發(fā)起，并模擬常見黑客所使用的測(cè)試手段對(duì)目標(biāo)系統(tǒng)進(jìn)行模擬入侵。可以清晰知曉系統(tǒng)中存在的安全隱患和問題。
滲透測(cè)試的方式主要分為黑盒測(cè)試和白盒測(cè)試：
黑盒測(cè)試：滲透者對(duì)于系統(tǒng)一無所知的狀態(tài)，除了被測(cè)試的目標(biāo)的已知公開信息外，不提供任何其他信息。
白盒測(cè)試：測(cè)試者可以通過正常渠道向被測(cè)單位取得各種資料，也能與單位其他員工進(jìn)行面對(duì)面溝通。
滲透測(cè)試的作用
二、什么類型的安全風(fēng)險(xiǎn)需要進(jìn)行滲透測(cè)試？
1.老舊的業(yè)務(wù)系統(tǒng)在架構(gòu)設(shè)計(jì)時(shí)僅考慮功能實(shí)現(xiàn)，未考慮安全因素，缺乏對(duì)業(yè)務(wù)系統(tǒng)的安全性驗(yàn)證。
2.用戶開發(fā)完畢的新系統(tǒng)平臺(tái)需要上線，需要對(duì)安全架構(gòu)的安全性進(jìn)行驗(yàn)證，防止業(yè)務(wù)系統(tǒng)帶“病”上線。
3.滿足監(jiān)管單位或主管單位對(duì)業(yè)務(wù)系統(tǒng)合規(guī)與監(jiān)管的要求。
4.企業(yè)及網(wǎng)站存在機(jī)密資料外泄、用戶資料外泄的擔(dān)憂。
5.業(yè)務(wù)系統(tǒng)存在交易業(yè)務(wù)邏輯問題（如金融類系統(tǒng)）
滲透測(cè)試的服務(wù)流程
三、滲透測(cè)試服務(wù)的流程？
以天磊衛(wèi)士為例。服務(wù)流程分為前期準(zhǔn)備、測(cè)試階段、復(fù)測(cè)階段和成果匯報(bào)四個(gè)階段：
前期準(zhǔn)備：在實(shí)施滲透測(cè)試工作前，獲得企業(yè)的授權(quán)后，技術(shù)人員會(huì)和客戶對(duì)滲透測(cè)試服務(wù)相關(guān)的技術(shù)細(xì)節(jié)進(jìn)行詳細(xì)溝通，由此確認(rèn)滲透測(cè)試的方案。
測(cè)試階段：過程中，首先使用自動(dòng)化的安全掃描工具，完成初步的信息收集等工作。再由安全專家對(duì)安全掃描的結(jié)果進(jìn)行人工的確認(rèn)和分析。并且根據(jù)收集的各類信息進(jìn)行人工的進(jìn)一步滲透測(cè)試深入，最終提交報(bào)告，并就報(bào)告內(nèi)容進(jìn)行溝通。
復(fù)測(cè)階段：在經(jīng)過第一次滲透測(cè)試報(bào)告提交和溝通后，等待客戶針對(duì)滲透測(cè)試發(fā)現(xiàn)的問題整改或加固，例如額外的安全措施或補(bǔ)償控制。經(jīng)整改或加固后，測(cè)試人員重新參與以提供補(bǔ)救證據(jù)或評(píng)估緩解措施的效果，即二次復(fù)測(cè)。
成果匯報(bào)：根據(jù)一次滲透測(cè)試和二次復(fù)測(cè)結(jié)果，相關(guān)數(shù)據(jù)需要以清晰的方式關(guān)聯(lián)并呈現(xiàn)給客戶。最后匯報(bào)項(xiàng)目領(lǐng)導(dǎo)。
