本文將討論什么是滲透測試?為什么需要進行滲透測試?以及如何安全有效地進行測試。還將提供滲透測試方法的清單，以便確保充分利用滲透測試過程。

什么是滲透測試?

滲透測試(Pentesting)是一種通過模擬外部惡意人員或黑客的攻擊來評估計算機系統(tǒng)安全性的技術(shù)。其目的是識別任何漏洞，以便在真正的網(wǎng)絡(luò)攻擊者利用它們之前修復(fù)它們。滲透測試通常被稱為“道德黑客攻擊”，因為它們在獲得企業(yè)許可的情況下使用與網(wǎng)絡(luò)攻擊者相同的技術(shù)，這樣企業(yè)就會知道自身弱點在哪里，以及對外部惡意攻擊的防御能力有多強。例如：如果有人能夠通過內(nèi)部發(fā)送的網(wǎng)絡(luò)釣魚電子郵件訪問企業(yè)網(wǎng)絡(luò)的一部分，這將允許他們訪問通常不應(yīng)該訪問的其他部分，除非他們出現(xiàn)在另一個位置(例如辦公樓)——例如軟件組件的專有源代碼存儲庫，這些組件是根據(jù)合作伙伴和全球客戶或客戶之間嚴格的保密協(xié)議合同授權(quán)的。

為什么滲透測試很重要?

滲透測試至關(guān)重要，因為它可以幫助企業(yè)在黑客使用它們之前發(fā)現(xiàn)網(wǎng)絡(luò)中的漏洞。安全專業(yè)人員定期進行道德黑客攻擊，以確保他們的系統(tǒng)中沒有任何漏洞，因此這將使企業(yè)高枕無憂，知道在網(wǎng)絡(luò)攻擊者進行攻擊時需要改進的地方。那些沒有得到這些目標的所有者或運營商的許可的滲透測試，就像在工作中進行內(nèi)部審計一樣(例如內(nèi)部發(fā)送的釣魚電子郵件)。

滲透測試的有效功能

滲透測試有很多有效的功能，包括：

• 可供使用的多種黑客工具和技術(shù)。
• 模擬實際攻擊的真實場景。
• 測試對這些攻擊的防御能力。
• 幫助企業(yè)了解滲透測試結(jié)果的詳細報告。

如何安全有效地進行滲透測試

在進行滲透測試時，安全有效地進行測試很重要。以下是充分利用滲透測試過程的一些技巧：

• 確保在開始之前獲得企業(yè)的許可，未經(jīng)許可的黑客可能會被逮捕和起訴。
• 優(yōu)先完成風(fēng)險評估以確定哪些系統(tǒng)和數(shù)據(jù)最需要保護。這將幫助企業(yè)決定在滲透測試期間將精力集中在哪里。
• 為了發(fā)現(xiàn)安全漏洞，需要利用一系列黑客工具和方法。但不要依賴單一方法，因為這可能不會對所有類型的防御都有效。
• 針對現(xiàn)實場景測試企業(yè)的防御能力，看看它們是如何承受的。黑客不斷開發(fā)和采用攻擊網(wǎng)絡(luò)的新方法，因此企業(yè)必須對一切保持警惕。
• 仔細查看滲透測試的結(jié)果，并采取措施修復(fù)發(fā)現(xiàn)的任何漏洞。不要僅僅因為它們很難修復(fù)或修復(fù)起來很耗時而忽略它們。企業(yè)越早解決這些問題，被黑客利用的可能性就越小。

滲透測試方法清單

• 滲透測試團隊成員應(yīng)由各種專家組成，其中包括系統(tǒng)管理員、安全分析師、網(wǎng)絡(luò)工程師和開發(fā)人員。
• 滲透測試過程應(yīng)明確定義，并始終如一地遵循，以產(chǎn)生準確的結(jié)果。
• 應(yīng)該使用漏洞掃描程序來查找目標系統(tǒng)上可能存在的漏洞。
• 安全測試工具(如Fuzzer和漏洞利用框架)可用于模擬真實世界的攻擊。
• 滲透測試人員應(yīng)該很好地了解網(wǎng)絡(luò)的工作方式，以及可以針對它們發(fā)起的各種類型的攻擊。
• 測試環(huán)境應(yīng)盡可能準確地反映生產(chǎn)環(huán)境。
• 滲透測試人員在進行測試時應(yīng)始終遵守企業(yè)政策和程序。
• 滲透測試人員在進行測試時不應(yīng)損害安全性或中斷業(yè)務(wù)運營。

對企業(yè)的業(yè)務(wù)進行滲透測試有哪些注意點?

滲透測試不是一次性活動，它需要定期重復(fù)進行，以便在出現(xiàn)任何漏洞時及時知道它們。在執(zhí)行這些測試時，要像對手一樣思考：網(wǎng)絡(luò)攻擊者最想從企業(yè)這里得到什么?他們可能已經(jīng)通過內(nèi)部發(fā)送的網(wǎng)絡(luò)釣魚電子郵件獲得了什么樣的訪問權(quán)限?如何防止他們獲得更多進入網(wǎng)絡(luò)的入口點，而不會過多地使用可能會阻止合法流量的防火墻/過濾器中斷操作?

總之，企業(yè)必須積極主動地進行滲透測試。不能等到企業(yè)的系統(tǒng)被攻擊才開始這些測試，否則為時已晚!需要記住的是：安全目標不一定是完美的，而是隨著時間的推移不斷改進。

原文標題：??Everything you need to know about pentesting??，作者：Ankit Pahuja