導航：安全管理網>> 安全管理>> 行業安全>> 其它行業>>正文

解析安全測試與滲透測試的區別

		點擊數：	更新時間： 2021年07月13日
下載地址：點擊這里	文件大?。?182.75 KB 共2頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大?。?82.75 KB 共2頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：如何做好服務器安全維護

上一篇：讀好書、唱好歌、看好片安全管理制度

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

安全測試不同于滲透測試，滲 成本因素：對攻擊者來說，利用 危，不好利用的漏洞的利用方法。因
透測試側重于幾個點的穿透攻擊， 漏洞的收益是系統所保護的資產， 此安全測試關注點是業務系統在失
而安全測試是側重于對安全威脅的 所以可以投入更多的成本來研究漏 去所有外部防護之后， 自身實現的
建模。系統的對來自各個方面，各個 洞的利用，包括時間，人員，手段。 安全性， 關注高覆蓋的安全測試和
層面威脅的全面考量。安全測試可 但是對安全測試來說， 整個收益是 安全度量，而不是單一的滲透測試。
以告訴您． 您的系統可能會來自哪 客戶愿意投入的成本， 系統所保護 當然目前， 由于用戶對安全的
個方面的威脅。正在遭受哪些威脅， 的資產遠大于系統開發投入，安全 理解還存在很多認識誤區， 還需要
以及您的系統已經可抵御什么樣的 投入又只占系統開發投入的百分之 慢慢改善。
威脅。當然，安全測試涵蓋滲透測試 三左右，所以從成本角度考慮，安全 例如有個項目， 用戶的目標是
的部分內容。安全測試與滲透測試 測試只關注評估漏洞被利用的可能 希望能業務系統上線之前， 通過測
的區別主要在： 性，而不應該具體去研究漏洞如何 試改善安全， 用戶以前的安全主要
滲透測試考慮的是以黑客方 被利用且展示給客戶。 是某國際大公司提供流程咨詢一
法。從單點上找到利用途徑，證明你 視角因素： 安全測試是幫助客 套，但難以解決安全問題，因此用戶
有問題，幫助客戶提高認識，也能解 戶降低安全威脅，減少安全漏洞。本 希望引入安全測試來全面提升安
決急迫的一些問題， 但無法也不能 身是一種防護技術，盡量發現安全 全，其實是很符合安全測試目標的，
去針對系統做完備性的安全測試， 問題并指導客戶修復安全問題是關 但是在選型之后，給予幾家廠商PK
所以難以解決系統自身實質性的安 鍵，沿著的路徑是發現安全問題一> 的項目則是純網站滲透測試性的，
全問題， 所以提供滲透測試的廠商 分析評估安全問題一> 提出修補建 評價標準也只是在誰最后真實入侵
一般都是自己買什么防護設備，以 議一>度量安全，而不是以攻擊者視 了誰牛的標準，雖然我們也滲透成
自己防護設備針對的威脅為主要滲 角發現安全問題一) 利用安全問 功， 但是出具的報告則是針對某個
透點．找到你有類似的問題，解決方 題一)獲得非法收益的路徑。對防護 頁面具體的威脅分析，改進建議，沒
案就以賣對應的防護設備作為手 方最有價值的是發現問題，解決問 有去放置破壞性實質入侵的東西，
段。針對具體的威脅，通過防護設備 題，而不是發現問題，利用問題。防 用戶反倒覺得沒其他做滲透測試廠
采取被動的防護。而安全測試的廠 護方關注都漏洞是否可被利用確定 商報告漂亮，抓了WEBSHELL的屏，
商．則從整體系統架構。安全編碼， 安全漏洞和修復級別就夠了， 研究 拿了敏感文件什么的，其實就和安
安全測試，安全測試覆蓋性，安全度 再多的具體攻擊利用技術，對操作 全測試的本意就遠了。當然既然用
量等多個因素去考慮問題．提出的 系統級別的防護是有意義的，但是 戶的認識只在這個階段，也沒辦法，
解決方法則是逐步幫助客戶引入安 對普通應用系統的開發與使用者則 后面的測試我們就只能以滲透利用
全開發過程，提供相應的工具支撐， 是無價值的。 的方式去做和出報告了，但我一直
目標是最后讓客戶提升業務系統自 假定因素： 客戶面臨的風險不 在想， 用戶需要的是提升自身業務
身實質性安全問題。 僅來自于外部， 也可能來自于攻擊 系統的安全，繼續滲透這套方法，我
安全測試首先會對被測試系統 者通過客戶端主機的滲透(如通過 們難道又要回到賣防護設備被動防
做系統分析，分析其架構，軟件體系 對某員工筆記本掛馬再接入內網的 護的方式嗎?在給微軟測試當中，我
以及程序部署等等，然后再對被測 方式)，還有可能來自于內部。安全 提交的報告無需去寫EXP， 除了
系統做系統安全分析，在這之后會 要保護全面的安全，我們不能假定 MDB 那個例外，因為微軟認為MDB
對系統進行安全建模， 明確本系統 攻擊者路徑就一定處于同滲透測試 不是安全文件，我給他們說了可以
可能來自的各個潛在威脅， 之后需 一樣的純外部嚴密防護中， 也無法 利用來打IIS，但估計我拙劣的英文
要剖析系統，確認有哪些攻擊界面， 假定攻擊者通過時間積累社工或自 沒讓他們明白，最后才以BLUEHAT
根據測試方案進行測試。 身特性(員工)獲取到一些信息。同 上的實際演示來證明。其實技術發
安全測試只關注漏洞的可利用 時攻擊利用技術發展到現在， 已經 展到現在， 安全漏洞具體怎么利用
性分析， 但不關注漏洞如何被真實 和具體應用的特性結合起來， 攻擊 成為了一門藝術， 但是漏洞理論上
利用的技術，這當中有幾個因素： 者時刻有可能發現以前我們認為低 是否可被利用卻是基本可以定性
＼
《計萬算方機數與據廚絡 》2012年第l7期
安全咖啡屋
計算機與網絡創新生活 一? 。．姍瑤n哪_r
堵健纂蕊害簿 鍪 饅的秘點糠測
1．產品的攻擊檢測數量為多 主機的三種技術和系統。 數。
少?是否支持升級? 傳統的IDS大多是兩層結構，即 9． 系統是否易用?
IDS的主要指標是它能發現的入 “控制臺一探測器” 結構，一些先進 系統的易用性包括五個方面：
侵方式的數量，幾乎每個星期都有新 的IDS產品開始采用三層架構進行 界面易用— — 全中文界面
， 方便
的漏洞和攻擊方法出現，產品的升級 部署，即“控制臺一事件收集器+安 易學，操作簡便靈活。
方式是否靈活直接影響到它功能的 全數據庫一探測器”結構，對于大型 幫助易用— — 在監控到異常事
發揮。一個好的實時檢測產品應該 網絡來說，三層結構更加易于實現分 件時能夠立刻查看報警事件的幫助
能經常性升級，并可通過互聯網或下 布部署和集中管理，從而提高安全決 信息，同時在聯機幫助中能夠按照多
載升級包在本地升級。 策的集中性。如果沒有遠程管理能 種方式查看產品幫助。
2．對于網絡入侵檢測系統，最大 力， 對于大型網絡基本不具備可用 策略編輯易用— — 能否提供單
可處理流量(PPS)是多少? 性。 獨的策略編輯器?可否同時編輯多個
首先，要分析網絡入侵檢測系統 6．產品的誤報和漏報率如何? 策略?是否提供策略打印功能。
所布署的網絡環境，如果在512K或 有些IDS系統經常發出許多假 日志報告易用— — 是否提供靈
2M 專線上布署網絡入侵檢測系統， 警，假警報常常掩蓋了真攻擊。這些 活的報告定制能力。
則不需要高速的入侵檢測引擎，而在 產品在假警報重負下一再崩潰，而當 報警事件優化技術— — 是否針
負荷較高的環境中，性能是一個非常 真正攻擊出現時，有些IDS產品不能 對報警事件進行優化處理，將用戶從
重要的指標。 捕獲攻擊，而另一些IDS產品的報告 海量日志中解放出來，先進的IDS能
3．產品容易被攻擊者躲避嗎? 混雜在假警報中，很容易被錯過。過 夠將一定時間內的類似事件經過優
有些常用的躲開入侵檢測的方 分復雜的界面使關掉假警報非常困 化處理后合并進行報警，這樣，用戶
法，如：分片、1廣IL欺騙、異常TCP分 難，幾乎所有IDS產品在默認設置狀 面對的日志信息不僅更為清晰而且
段、慢掃描、協同攻擊等。產品在設 態下都會產生非常多的假警報，給用 避免錯過重要報警信息。
計時是否考慮到這一點。 戶帶來許多麻煩。 l0．特征庫升級與維護的費用怎
4．能否自定義異常事件? 7．系統本身是否安全? 樣?
IDS對特殊的監控需求只能通過 IDS系統記錄了企業最敏感的數 像反病毒軟件一樣。入侵檢測的
用戶自己定制監控策略實現。一個 據，必須有自我保護機制，防止成為 特征庫需要不斷更新才能檢測出新
優秀的IDS產品，必須提供靈活的用 黑客的攻擊目標。 出現的攻擊方法。
戶自定義策略能力，包括對服務、訪 8．產品實時監控性能如何? 11．產品是否通過了國家權威機
問者、被訪問者、端口、關鍵字以及 由IDS通信造成的對網絡的負 構的評測?
事件的響應方式等策略。 載不能影響正常的網絡業務，必須對 主要的權威評測機構有：國家信
5．產品系統結構是否合理? 數據進行實時分析，否則無法在有攻 息安全評測認證中心、公安部計算機
一個成熟的產品，必須是集成了 擊時保護網絡，所以必須考慮網絡入 信息系統安全產品質量監督檢驗中
基于百兆網絡、基于干兆網絡、基于 侵檢測產品正常工作的最大帶寬 心等。
的，只要理論上可以被利用的漏洞， 本， 大多數理論上可被利用的漏洞 非常容易實施攻擊． 證實這是個極
廠商都應該修補， 因為我們不能假 都可以達到很高利用程度， 最近提 度高危的安全漏洞。但是廠商會對
設攻擊者不能通過深入研究達到實 交了一個非常嚴重的安全漏洞，但 發現自身安全漏洞支付成本， 會對
質可利用， 廠商也沒必要花費大量 對方認為這個漏洞太難利用了，因 發現的安全漏洞寫出可利用攻擊來
的成本去研究實質可利用。所以微 為有應用自身編碼檢測要求， 否則 支付成本嗎?房屋安全驗收員發現
軟無需我提交EXP， 只要指出是否 無法寫自己可控內容到文件； 沒辦 了房屋存在空鼓就可以了， 而不是
理論可利用就可以了。 法， 只能花了一晚上時間熬夜逆向 非得貼上瓷磚等上2年讓墻磚‘出現
其實攻擊者只要付出研究成 分析，最后寫出了編碼的代碼，可以 開裂、脫落的現象才能給業主證明。

網友評論 more

其它行業最新內容

04-29