但若未清晰界定测试范围并达成共识,事情就有可能很快跑偏:网络安全公司 Coalfire 对爱荷华州法院的渗透测试就导致两名员工因非法侵入被捕。
正如 Coalfire 哀叹的:Coalfire 和州法院管理处认为已就工作范围中所含位置的实体安全评估达成了一致……最近的事件却表明他们对该协议的范围有不一样的解释。
渗透测试本身的定义也会出现类似的混乱。
漏洞奖励公司 HackerOne 的技术项目经理 Niels Schweisshelm 透露:一定不能弄混渗透测试和漏洞评估。漏洞评估的结果是系统中漏洞的概览,而渗透测试是通过结合并利用上述漏洞来揭示整体影响。
简言之,黑客侵入某系统可不仅仅是靠发现一个可打开网络的大漏洞。
恶意黑客入侵系统通常是先找出一个低级漏洞,然后结合其他一系列低级漏洞,一步步获取更高权限。
渗透测试的艰难时刻:他们决定进入完全 “红队” 模式
客户和渗透测试员之间的绝对清晰非常重要。
正如 Synopsys 高级首席顾问 Andrew van der Stock 强调的:真正的攻击者没有交战规则、时间限制和界限,但我们有。
沟通与许可为王。
Context Information Security 首席顾问兼红队主管 Rob Downie 称:大范围和高操作自由度的渗透测试常被归入 “红队” 或 “模拟攻击” 范畴讨论。这种类型的测试着眼全部安全控制,往往针对更高级和完备的防御团队,评估人员、过程和技术联动中的漏洞。
很明显,对操作系统和协议的深度理解是关键。对应用及工具工作原理和互动模式的敏锐目光,有助发现可组合使用的低级漏洞。
但 F-Secure Consulting 的技术总监 David Hartley 强调,良好的攻击性安全技术还仅仅是个开始。他指出:最终,渗透测试员工具箱中最重要的工具是 Word 和 Powerpint。
他补充道,帮助董事会理解测试发现的重要性,将测试结果映射至业务风险上,以及帮助客户解决这些风险,才是真正的挑战。在这方面,以攻击路径图的图形化方式呈现,往往比满屏的服务器 shell 截图有效得多。
攻击安全专家们都用哪些小工具针对你的公司呢?HackerOne 技术项目经理 Niels Schweisshelm 解释道:渗透测试员使用什么工具取决于评估的类型。
Synopsys 的 van der Stock 补充道:面对这个问题,大部分人会给出自己最钟爱的工具或套装名称,比如 “Burp Suite Pro” 或 “Kali”,但渗透测试工具包中最本质的部分是他们的脑子。
最后,渗透测试员需谋划作恶。滥用用例生成与验证是渗透测试员的主要技术。如果渗透测试员认为自己的工作就是照看自动化工具和分类结果,那这工作就不仅是消磨精神,也不是真正的渗透测试,而仅仅是漏洞扫描了。现在找出的大多数高影响度漏洞极少是可自动化检测和利用的。
本文来源于:渗透测试最重要的工具竟然是 Word 和 PPT ?-变化吧门户
特别声明:以上文章内容仅代表作者本人观点,不代表变化吧门户观点或立场。如有关于作品内容、版权或其它问题请于作品发表后的30日内与变化吧联系。
- 赞助本站
- 微信扫一扫
- 加入Q群
- QQ扫一扫
评论