導航：安全管理網>> 安全管理>> 行業(yè)安全>> 其它行業(yè)>>正文

解析安全測試與滲透測試的區(qū)別

		點擊數(shù)：	更新時間： 2021年07月13日
下載地址：點擊這里	文件大?。?182.75 KB 共2頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內容預覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大?。?82.75 KB 共2頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：如何做好服務器安全維護

上一篇：讀好書、唱好歌、看好片安全管理制度

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

安全測試不同于滲透測試，滲 成本因素：對攻擊者來說，利用 危，不好利用的漏洞的利用方法。因
透測試側重于幾個點的穿透攻擊， 漏洞的收益是系統(tǒng)所保護的資產， 此安全測試關注點是業(yè)務系統(tǒng)在失
而安全測試是側重于對安全威脅的 所以可以投入更多的成本來研究漏 去所有外部防護之后， 自身實現(xiàn)的
建模。系統(tǒng)的對來自各個方面，各個 洞的利用，包括時間，人員，手段。 安全性， 關注高覆蓋的安全測試和
層面威脅的全面考量。安全測試可 但是對安全測試來說， 整個收益是 安全度量，而不是單一的滲透測試。
以告訴您． 您的系統(tǒng)可能會來自哪 客戶愿意投入的成本， 系統(tǒng)所保護 當然目前， 由于用戶對安全的
個方面的威脅。正在遭受哪些威脅， 的資產遠大于系統(tǒng)開發(fā)投入，安全 理解還存在很多認識誤區(qū)， 還需要
以及您的系統(tǒng)已經可抵御什么樣的 投入又只占系統(tǒng)開發(fā)投入的百分之 慢慢改善。
威脅。當然，安全測試涵蓋滲透測試 三左右，所以從成本角度考慮，安全 例如有個項目， 用戶的目標是
的部分內容。安全測試與滲透測試 測試只關注評估漏洞被利用的可能 希望能業(yè)務系統(tǒng)上線之前， 通過測
的區(qū)別主要在： 性，而不應該具體去研究漏洞如何 試改善安全， 用戶以前的安全主要
滲透測試考慮的是以黑客方 被利用且展示給客戶。 是某國際大公司提供流程咨詢一
法。從單點上找到利用途徑，證明你 視角因素： 安全測試是幫助客 套，但難以解決安全問題，因此用戶
有問題，幫助客戶提高認識，也能解 戶降低安全威脅，減少安全漏洞。本 希望引入安全測試來全面提升安
決急迫的一些問題， 但無法也不能 身是一種防護技術，盡量發(fā)現(xiàn)安全 全，其實是很符合安全測試目標的，
去針對系統(tǒng)做完備性的安全測試， 問題并指導客戶修復安全問題是關 但是在選型之后，給予幾家廠商PK
所以難以解決系統(tǒng)自身實質性的安 鍵，沿著的路徑是發(fā)現(xiàn)安全問題一> 的項目則是純網站滲透測試性的，
全問題， 所以提供滲透測試的廠商 分析評估安全問題一> 提出修補建 評價標準也只是在誰最后真實入侵
一般都是自己買什么防護設備，以 議一>度量安全，而不是以攻擊者視 了誰牛的標準，雖然我們也滲透成
自己防護設備針對的威脅為主要滲 角發(fā)現(xiàn)安全問題一) 利用安全問 功， 但是出具的報告則是針對某個
透點．找到你有類似的問題，解決方 題一)獲得非法收益的路徑。對防護 頁面具體的威脅分析，改進建議，沒
案就以賣對應的防護設備作為手 方最有價值的是發(fā)現(xiàn)問題，解決問 有去放置破壞性實質入侵的東西，
段。針對具體的威脅，通過防護設備 題，而不是發(fā)現(xiàn)問題，利用問題。防 用戶反倒覺得沒其他做滲透測試廠
采取被動的防護。而安全測試的廠 護方關注都漏洞是否可被利用確定 商報告漂亮，抓了WEBSHELL的屏，
商．則從整體系統(tǒng)架構。安全編碼， 安全漏洞和修復級別就夠了， 研究 拿了敏感文件什么的，其實就和安
安全測試，安全測試覆蓋性，安全度 再多的具體攻擊利用技術，對操作 全測試的本意就遠了。當然既然用
量等多個因素去考慮問題．提出的 系統(tǒng)級別的防護是有意義的，但是 戶的認識只在這個階段，也沒辦法，
解決方法則是逐步幫助客戶引入安 對普通應用系統(tǒng)的開發(fā)與使用者則 后面的測試我們就只能以滲透利用
全開發(fā)過程，提供相應的工具支撐， 是無價值的。 的方式去做和出報告了，但我一直
目標是最后讓客戶提升業(yè)務系統(tǒng)自 假定因素： 客戶面臨的風險不 在想， 用戶需要的是提升自身業(yè)務
身實質性安全問題。 僅來自于外部， 也可能來自于攻擊 系統(tǒng)的安全，繼續(xù)滲透這套方法，我
安全測試首先會對被測試系統(tǒng) 者通過客戶端主機的滲透(如通過 們難道又要回到賣防護設備被動防
做系統(tǒng)分析，分析其架構，軟件體系 對某員工筆記本掛馬再接入內網的 護的方式嗎?在給微軟測試當中，我
以及程序部署等等，然后再對被測 方式)，還有可能來自于內部。安全 提交的報告無需去寫EXP， 除了
系統(tǒng)做系統(tǒng)安全分析，在這之后會 要保護全面的安全，我們不能假定 MDB 那個例外，因為微軟認為MDB
對系統(tǒng)進行安全建模， 明確本系統(tǒng) 攻擊者路徑就一定處于同滲透測試 不是安全文件，我給他們說了可以
可能來自的各個潛在威脅， 之后需 一樣的純外部嚴密防護中， 也無法 利用來打IIS，但估計我拙劣的英文
要剖析系統(tǒng)，確認有哪些攻擊界面， 假定攻擊者通過時間積累社工或自 沒讓他們明白，最后才以BLUEHAT
根據(jù)測試方案進行測試。 身特性(員工)獲取到一些信息。同 上的實際演示來證明。其實技術發(fā)
安全測試只關注漏洞的可利用 時攻擊利用技術發(fā)展到現(xiàn)在， 已經 展到現(xiàn)在， 安全漏洞具體怎么利用
性分析， 但不關注漏洞如何被真實 和具體應用的特性結合起來， 攻擊 成為了一門藝術， 但是漏洞理論上
利用的技術，這當中有幾個因素： 者時刻有可能發(fā)現(xiàn)以前我們認為低 是否可被利用卻是基本可以定性
＼
《計萬算方機數(shù)與據(jù)廚絡 》2012年第l7期
安全咖啡屋
計算機與網絡創(chuàng)新生活 一? 。．姍瑤n哪_r
堵健纂蕊害簿 鍪 饅的秘點糠測
1．產品的攻擊檢測數(shù)量為多 主機的三種技術和系統(tǒng)。 數(shù)。
少?是否支持升級? 傳統(tǒng)的IDS大多是兩層結構，即 9． 系統(tǒng)是否易用?
IDS的主要指標是它能發(fā)現(xiàn)的入 “控制臺一探測器” 結構，一些先進 系統(tǒng)的易用性包括五個方面：
侵方式的數(shù)量，幾乎每個星期都有新 的IDS產品開始采用三層架構進行 界面易用— — 全中文界面
， 方便
的漏洞和攻擊方法出現(xiàn)，產品的升級 部署，即“控制臺一事件收集器+安 易學，操作簡便靈活。
方式是否靈活直接影響到它功能的 全數(shù)據(jù)庫一探測器”結構，對于大型 幫助易用— — 在監(jiān)控到異常事
發(fā)揮。一個好的實時檢測產品應該 網絡來說，三層結構更加易于實現(xiàn)分 件時能夠立刻查看報警事件的幫助
能經常性升級，并可通過互聯(lián)網或下 布部署和集中管理，從而提高安全決 信息，同時在聯(lián)機幫助中能夠按照多
載升級包在本地升級。 策的集中性。如果沒有遠程管理能 種方式查看產品幫助。
2．對于網絡入侵檢測系統(tǒng)，最大 力， 對于大型網絡基本不具備可用 策略編輯易用— — 能否提供單
可處理流量(PPS)是多少? 性。 獨的策略編輯器?可否同時編輯多個
首先，要分析網絡入侵檢測系統(tǒng) 6．產品的誤報和漏報率如何? 策略?是否提供策略打印功能。
所布署的網絡環(huán)境，如果在512K或 有些IDS系統(tǒng)經常發(fā)出許多假 日志報告易用— — 是否提供靈
2M 專線上布署網絡入侵檢測系統(tǒng)， 警，假警報常常掩蓋了真攻擊。這些 活的報告定制能力。
則不需要高速的入侵檢測引擎，而在 產品在假警報重負下一再崩潰，而當 報警事件優(yōu)化技術— — 是否針
負荷較高的環(huán)境中，性能是一個非常 真正攻擊出現(xiàn)時，有些IDS產品不能 對報警事件進行優(yōu)化處理，將用戶從
重要的指標。 捕獲攻擊，而另一些IDS產品的報告 海量日志中解放出來，先進的IDS能
3．產品容易被攻擊者躲避嗎? 混雜在假警報中，很容易被錯過。過 夠將一定時間內的類似事件經過優(yōu)
有些常用的躲開入侵檢測的方 分復雜的界面使關掉假警報非常困 化處理后合并進行報警，這樣，用戶
法，如：分片、1廣IL欺騙、異常TCP分 難，幾乎所有IDS產品在默認設置狀 面對的日志信息不僅更為清晰而且
段、慢掃描、協(xié)同攻擊等。產品在設 態(tài)下都會產生非常多的假警報，給用 避免錯過重要報警信息。
計時是否考慮到這一點。 戶帶來許多麻煩。 l0．特征庫升級與維護的費用怎
4．能否自定義異常事件? 7．系統(tǒng)本身是否安全? 樣?
IDS對特殊的監(jiān)控需求只能通過 IDS系統(tǒng)記錄了企業(yè)最敏感的數(shù) 像反病毒軟件一樣。入侵檢測的
用戶自己定制監(jiān)控策略實現(xiàn)。一個 據(jù)，必須有自我保護機制，防止成為 特征庫需要不斷更新才能檢測出新
優(yōu)秀的IDS產品，必須提供靈活的用 黑客的攻擊目標。 出現(xiàn)的攻擊方法。
戶自定義策略能力，包括對服務、訪 8．產品實時監(jiān)控性能如何? 11．產品是否通過了國家權威機
問者、被訪問者、端口、關鍵字以及 由IDS通信造成的對網絡的負 構的評測?
事件的響應方式等策略。 載不能影響正常的網絡業(yè)務，必須對 主要的權威評測機構有：國家信
5．產品系統(tǒng)結構是否合理? 數(shù)據(jù)進行實時分析，否則無法在有攻 息安全評測認證中心、公安部計算機
一個成熟的產品，必須是集成了 擊時保護網絡，所以必須考慮網絡入 信息系統(tǒng)安全產品質量監(jiān)督檢驗中
基于百兆網絡、基于干兆網絡、基于 侵檢測產品正常工作的最大帶寬 心等。
的，只要理論上可以被利用的漏洞， 本， 大多數(shù)理論上可被利用的漏洞 非常容易實施攻擊． 證實這是個極
廠商都應該修補， 因為我們不能假 都可以達到很高利用程度， 最近提 度高危的安全漏洞。但是廠商會對
設攻擊者不能通過深入研究達到實 交了一個非常嚴重的安全漏洞，但 發(fā)現(xiàn)自身安全漏洞支付成本， 會對
質可利用， 廠商也沒必要花費大量 對方認為這個漏洞太難利用了，因 發(fā)現(xiàn)的安全漏洞寫出可利用攻擊來
的成本去研究實質可利用。所以微 為有應用自身編碼檢測要求， 否則 支付成本嗎?房屋安全驗收員發(fā)現(xiàn)
軟無需我提交EXP， 只要指出是否 無法寫自己可控內容到文件； 沒辦 了房屋存在空鼓就可以了， 而不是
理論可利用就可以了。 法， 只能花了一晚上時間熬夜逆向 非得貼上瓷磚等上2年讓墻磚‘出現(xiàn)
其實攻擊者只要付出研究成 分析，最后寫出了編碼的代碼，可以 開裂、脫落的現(xiàn)象才能給業(yè)主證明。

網友評論 more

其它行業(yè)最新內容

03-14