網絡安全至關重要，組織致力于對敏感的信息資產建立有效的控制及保護，關注的重點在核心的業(yè)務系統(tǒng)、內部辦公系統(tǒng)、財務系統(tǒng)、人事系統(tǒng)…這一切可歸為組織的生產環(huán)境。與之不同，測試環(huán)境更像一個過客，會階段性的出現(xiàn)在組織內部，而人們往往對其不會有足夠的關注。

[[261228]]

在交付技術產品或服務之前，組織通常會搭建測試環(huán)境，以確保在不影響正常業(yè)務的情況下，可控、高效、安全的完成測試或開發(fā)，這是當前公認的最佳實踐。在理想狀態(tài)下，這些“非生產”或測試環(huán)境應該與生產環(huán)境完全隔離，以防出現(xiàn)安全事故。在現(xiàn)實中，應只有公司內部人員了解測試環(huán)境的情況，對公眾來說，完全沒有必要公開。然而，在安全研究中，經常可以發(fā)現(xiàn)暴露的測試環(huán)境憑證，這可能會導致嚴重的后果。

測試環(huán)境帶來的風險

測試環(huán)境自身對于攻擊者的價值，遠大于我們的認識，測試環(huán)境可以反應出組織當前數字業(yè)務的部分情況，會存在比生產環(huán)境更多的漏洞，承載的信息還可幫助攻擊者更好的利用社會工程學攻擊。

相比生產環(huán)境來說，測試環(huán)境憑證更好獲得，對漏洞的管理也更加松懈，給攻擊者留下了更多的機會，盜竊測試環(huán)境中的數據對攻擊者來說也更加容易。在某些場景下，例如因為偽造的數據無法達到測試效果，測試者會在測試環(huán)境中使用生產數據，這些數據可能是客戶信息、公司的機密數據、一旦暴露，不僅會面臨監(jiān)管機構的罰款，對公司聲譽帶來的影響，更是無法估量的損失。

此外，盡管測試環(huán)境不應與生產環(huán)境關聯(lián)，我們也應重視對其的保護。一旦測試環(huán)境同生產環(huán)境“重疊”，那么測試環(huán)境則成為了進入生產環(huán)境的通道，測試環(huán)境存在的漏洞也即成為了生產環(huán)境的漏洞。攻擊者可以此為跳板，利用社會工程獲得對組織內部系統(tǒng)的更大訪問權限。

如何降低測試環(huán)境帶來的風險

• 測試環(huán)境應該始終使用與生產環(huán)境不同的憑證，這樣即使泄漏，測試憑證也不能用于訪問生產環(huán)境。
• 測試憑證應該遵循權限最少的原則，只能使用測試憑證進入測試環(huán)境而不能進入其他系統(tǒng)。
• 在測試環(huán)境中啟用多因素身份驗證(MFA)，以創(chuàng)建另一道防線以阻止攻擊者訪問公司的系統(tǒng)。
• 避免在測試環(huán)境中使用真實(生產)數據，盡可能使用或開發(fā)工具為測試環(huán)境生成虛假數據。如果必須使用生產數據，在使用前盡可能的脫敏。
• 實現(xiàn)技術控制，如網絡分割：健壯的網絡安全更利于保護系統(tǒng)，無論是生產環(huán)境還是測試環(huán)境。
• 關注供應商風險：以上幾條均是通過組織內部的調整以達到降低使用測試環(huán)境風險的目的，但我們也不能忽略一個關鍵的角色，提供服務or技術的供應商。即使內部的防范再到位，若憑證從供應商、甚至供應商的合作伙伴手中流失，給組織帶來的傷害是一樣的。