滲透測試的八個錯誤姿勢
滲透測試很重要，但你真的做對了嗎?我們不妨來看看滲透測試中常見的幾種錯誤，談?wù)勗撊绾伪苊膺@些錯誤。
找出公司安全狀態(tài)中缺陷和弱點的最有效方式之一，就是讓第三方對自身系統(tǒng)展開有計劃的攻擊。滲透測試旨在暴露出公司防御上的缺口，以便公司能夠在被惡意人士利用之前堵上這些缺口。有多種類型的滲透測試可以針對公司的不同方面。
網(wǎng)絡(luò)罪犯針對公司的潛在攻擊途徑很多，從網(wǎng)絡(luò)基礎(chǔ)設(shè)施到應(yīng)用程序，再到設(shè)備和員工。優(yōu)秀的滲透測試合作伙伴會以開放性思維看待問題，嘗試模擬惡意黑客，探測弱點，并運用各種技術(shù)和工具以突破你的網(wǎng)絡(luò)。
盡管滲透測試被廣泛認(rèn)為是一種必要的安全防護(hù)手段，但卻需要周密計劃和專業(yè)執(zhí)行。專業(yè)技能或經(jīng)驗的缺乏可導(dǎo)致不達(dá)標(biāo)的滲透測試，不能揭示漏洞，令公司依舊暴露在攻擊者火力范圍內(nèi)。
下面我們列出滲透測試中的幾種常見錯誤姿勢，并附上如何避免出錯的建議。
1. 未排序風(fēng)險優(yōu)先級
提升安全狀態(tài)的要務(wù)之一，就是建立風(fēng)險基線。必須識別出最大風(fēng)險在哪兒。此信息是確立滲透測試目標(biāo)的基礎(chǔ)。滲透測試總得有個目標(biāo)，無論是客戶數(shù)據(jù)、知識產(chǎn)權(quán)，還是公司財務(wù)數(shù)據(jù)。排序風(fēng)險可以幫助公司將安全工作聚焦到能產(chǎn)生最大價值的地方。
考慮公司可能面臨的最壞情況，然后圍繞此最壞情況設(shè)置滲透測試目標(biāo)。發(fā)現(xiàn)次要潛在問題可能很容易，但那會分散你對真正重要問題的注意力。
2. 使用錯誤的工具
滲透測試工具多如牛毛，但知道哪種工具該用在哪里，清楚這些工具的正確配置方法，卻需要大量的專業(yè)知識。如果你覺得可以買現(xiàn)成的滲透測試工具，交由內(nèi)部 IT 團(tuán)隊執(zhí)行，那你可能會面臨重大的打擊。除非你有極具經(jīng)驗的內(nèi)部紅隊，否則你應(yīng)該引入具備真正專業(yè)技能的第三方。
滲透測試員可能身價很高，你或許會短期聘用他們，所以，自動化工具值得考慮。自動化滲透測試平臺是驗證公司防御，賦予公司一定持續(xù)防護(hù)的良好方式。謹(jǐn)慎選擇，并向你的第三方滲透測試合作伙伴尋求建議。
3. 糟糕的報告
如果第三方滲透測試員的報告不具備可讀性，就很難理解他們發(fā)現(xiàn)的漏洞，更別提了解這些漏洞對公司的潛在影響了。滲透測試報告應(yīng)清晰闡述問題所在，表明不修復(fù)的潛在后果，并提出具體的修復(fù)方法。
沒有清晰目標(biāo)就開始測試，會對報告階段產(chǎn)生不利影響，因為這么做很難識別出威脅戰(zhàn)略性資產(chǎn)的真正關(guān)鍵攻擊途徑。良好報告應(yīng)濾掉噪音和誤報，突出對公司而言真正重要的東西。沒有任何方向，大包大攬地堆出幾千個漏洞的第三方或自動化工具就別引入了，面面俱到是不可能的。所以，確保你有重點突出的可執(zhí)行計劃，有明確的需要修復(fù)的漏洞列表。
4. 照單劃勾
如果你的滲透測試員在測試中抱有照單劃勾的思想，那你很可能就會漏掉一些東西。盡管合規(guī)很重要，但這并不是你執(zhí)行滲透測試的唯一原因。專注于勾掉項目會讓你陷入一種虛假的安全感。網(wǎng)絡(luò)罪犯可不是照著檢查清單來執(zhí)行攻擊的。
5. 干擾業(yè)務(wù)
合理規(guī)劃滲透測試，考慮對重要業(yè)務(wù)系統(tǒng)的潛在影響。成功的黑客常在不干擾服務(wù)的情況下利用漏洞，你聘用的滲透測試員也應(yīng)如此。如果測試在生產(chǎn)環(huán)境中執(zhí)行，一定要明確這一點。黑盒測試場景，指的是滲透測試員不了解你基礎(chǔ)設(shè)施的情況。這種情況下，滲透測試對業(yè)務(wù)產(chǎn)生干擾的風(fēng)險更大。
6. 使用過時技術(shù)
不與時俱進(jìn)的滲透測試計劃，很快就會毫無用處。新技術(shù)、新工具、新漏洞層出不窮。你得緊跟最新發(fā)展，并持續(xù)更新你的方法。優(yōu)秀的滲透測試合作伙伴會在他們的策略中融入最新的黑客技術(shù)。
7. 不常做滲透測試
盡管年度滲透測試可能比較常見，但這并不能為你帶來安寧。不常做的測試只能交出測試執(zhí)行當(dāng)時的防御情況。你得持續(xù)檢測你的防御并反復(fù)測試，才能確保暴露出來的漏洞被恰當(dāng)修復(fù)了。這是自動化滲透測試平臺如此有效的又一個原因。
8. 沒能修復(fù)
確保滲透測試合作伙伴和自動化工具產(chǎn)生的報告有專人負(fù)責(zé)解讀和響應(yīng)。你必須排序所發(fā)現(xiàn)的問題，并及時著手解決。損失慘重的數(shù)據(jù)盜竊往往是公司企業(yè)未處理已知漏洞的結(jié)果。確保已發(fā)現(xiàn)漏洞得到妥善解決，應(yīng)成為滲透測試的組成部分之一。
規(guī)劃和執(zhí)行都很糟糕的滲透測試非常危險。若想維持健壯的安全態(tài)勢，必不能驕傲自滿。
【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
