滲透測(cè)試：看“道德黑客”如何進(jìn)行模擬攻擊
滲透測(cè)試是指安全專業(yè)人員在系統(tǒng)所有者的許可下，模擬對(duì)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)的攻擊以評(píng)估其安全性的過程。不過，盡管是“模擬”攻擊，但滲透測(cè)試員同樣會(huì)把現(xiàn)實(shí)世界中攻擊者的所有工具和技術(shù)都用到目標(biāo)系統(tǒng)上，只是他們并不以發(fā)現(xiàn)的漏洞或獲取的信息用來牟利，而是將結(jié)果上報(bào)給所有者，以幫助其提高系統(tǒng)安全性。
由于滲透測(cè)試人員遵循與惡意黑客相同的攻擊策略，所以他們有時(shí)候被稱為“道德黑客”或“白帽黑客”。滲透測(cè)試可以由團(tuán)隊(duì)或獨(dú)立黑客進(jìn)行，他們可能是目標(biāo)公司的內(nèi)部員工，也可能獨(dú)立工作或?yàn)樘峁I(yè)滲透測(cè)試服務(wù)的安全公司工作。
從廣義上講，滲透測(cè)試的工作方式與真正嘗試破壞組織系統(tǒng)的方式完全相同。滲透測(cè)試人員首先會(huì)檢查和識(shí)別與目標(biāo)組織關(guān)聯(lián)的主機(jī)、端口和網(wǎng)絡(luò)服務(wù)。隨后，他們將研究此攻擊面中的潛在漏洞，這一步驟需要對(duì)目標(biāo)系統(tǒng)進(jìn)行更深入、更詳細(xì)的探測(cè)。最后，他們將嘗試突破目標(biāo)的邊界并訪問受保護(hù)的數(shù)據(jù)或控制他們的系統(tǒng)。
當(dāng)然，滲透測(cè)試和現(xiàn)實(shí)攻擊的細(xì)節(jié)可能會(huì)有很大差異。但需要注意的是，測(cè)試人員必須事先與目標(biāo)組織商定進(jìn)行的確切測(cè)試類型以及模擬攻擊的范圍，以免對(duì)用戶系統(tǒng)造成不可控的破壞。
滲透測(cè)試的類型
應(yīng)用安全公司Contrast Security將滲透測(cè)試類型分為以下多個(gè)類別：
▶外部滲透測(cè)試。采用這種方式時(shí)，滲透測(cè)試團(tuán)隊(duì)將從一個(gè)遠(yuǎn)程位置來評(píng)估目標(biāo)網(wǎng)絡(luò)基礎(chǔ)設(shè)施，他們沒有任何目標(biāo)網(wǎng)絡(luò)內(nèi)部拓?fù)涞认嚓P(guān)信息，完全模擬真實(shí)網(wǎng)絡(luò)環(huán)境中的外部攻擊者，采用流行的攻擊技術(shù)與工具，有組織、有步驟地對(duì)目標(biāo)組織進(jìn)行逐步滲透與入侵，揭示目標(biāo)網(wǎng)絡(luò)中一些已知或未知的安全漏洞，并評(píng)估這些漏洞能否被利用獲取控制權(quán)或造成業(yè)務(wù)資產(chǎn)的損失。
▶內(nèi)部滲透測(cè)試。進(jìn)行內(nèi)部測(cè)試的團(tuán)隊(duì)將可以了解到關(guān)于目標(biāo)環(huán)境的所有內(nèi)部與底層知識(shí)，因此可以讓滲透測(cè)試者以最小的代價(jià)發(fā)現(xiàn)和驗(yàn)證系統(tǒng)中較嚴(yán)重的安全漏洞。內(nèi)部測(cè)試揭示了心懷不滿的員工、懷有惡意的承包商或越界的超級(jí)黑客如何入侵系統(tǒng)。
▶盲測(cè)(blind test)。盲測(cè)模擬來自攻擊者端的“真實(shí)”攻擊。滲透測(cè)試員不會(huì)獲得有關(guān)組織網(wǎng)絡(luò)或系統(tǒng)的任何信息，這迫使他們依賴公開可用的信息或依靠自身技能收集的信息。
▶“雙盲”測(cè)試(double-blind test)。雙盲測(cè)試同樣模擬了目標(biāo)組織端的真實(shí)攻擊，但在這種類型的測(cè)試中，IT和安全人員并不知道正在進(jìn)行滲透測(cè)試的事實(shí)，以確保測(cè)試公司的真實(shí)安全態(tài)勢(shì)。
▶針對(duì)性測(cè)試。針對(duì)性測(cè)試，有時(shí)也稱為“開燈測(cè)試”，指的是滲透測(cè)試人員和目標(biāo)組織的IT人員在專注于網(wǎng)絡(luò)基礎(chǔ)設(shè)施特定方面的特定場(chǎng)景中進(jìn)行模擬“對(duì)抗游戲”。針對(duì)性測(cè)試通常比其他選項(xiàng)需要更少的時(shí)間或精力，但不能提供有關(guān)系統(tǒng)安全態(tài)勢(shì)的完整視圖。
滲透測(cè)試步驟
雖然不同類型的滲透測(cè)試都有其獨(dú)到之處，但行業(yè)專家開發(fā)的滲透測(cè)試執(zhí)行標(biāo)準(zhǔn)(PTES)總結(jié)了大多數(shù)滲透測(cè)試場(chǎng)景都會(huì)涉及的七個(gè)主要步驟：
▶行動(dòng)前交涉：任何滲透測(cè)試都應(yīng)該由測(cè)試人員和目標(biāo)組織事先確定測(cè)試的范圍和目標(biāo)，最好以書面形式確定。
▶情報(bào)收集：測(cè)試人員應(yīng)首先對(duì)目標(biāo)進(jìn)行偵察以收集盡可能多的信息，該過程可能包括收集有關(guān)目標(biāo)組織的開源情報(bào)或公開可用的信息。
▶威脅建模：在這個(gè)階段，滲透測(cè)試人員應(yīng)該對(duì)潛在的真實(shí)攻擊者能力和動(dòng)機(jī)進(jìn)行建模，并嘗試確定目標(biāo)組織內(nèi)的哪些目標(biāo)可能會(huì)吸引攻擊者注意。
▶漏洞分析：正式進(jìn)行滲透測(cè)試時(shí)，這可能是大多數(shù)人思考的核心問題，即分析目標(biāo)組織的基礎(chǔ)設(shè)施是否存在允許黑客入侵的安全漏洞。
▶漏洞利用：在此階段，滲透測(cè)試人員使用他們發(fā)現(xiàn)的漏洞進(jìn)入目標(biāo)組織系統(tǒng)，并竊取數(shù)據(jù)。這一步的目標(biāo)不僅僅是突破他們的邊界，而是繞過主動(dòng)防御措施并盡可能長(zhǎng)時(shí)間不被發(fā)現(xiàn)。
▶后漏洞利用：在該階段，滲透測(cè)試員會(huì)試圖保持對(duì)受損系統(tǒng)的控制權(quán)，并確定它們的價(jià)值。對(duì)于滲透測(cè)試人員與其客戶之間的關(guān)系而言，這可能是一個(gè)特別微妙的階段。在這一階段，比較重要的是，第一階段的“行動(dòng)前交涉”生成一套明確定義的基本規(guī)則，以保護(hù)客戶并確保關(guān)鍵服務(wù)未受到測(cè)試的負(fù)面影響。
▶報(bào)告：最后，測(cè)試人員必須向客戶提供一份關(guān)于風(fēng)險(xiǎn)和漏洞的全面而翔實(shí)的報(bào)告。在這一過程中，清楚傳達(dá)這些信息所需的溝通技巧無疑是較為重要的一點(diǎn)。
全球主流的滲透測(cè)試公司
滲透測(cè)試是科技行業(yè)的一個(gè)專業(yè)領(lǐng)域，迄今為止一直在抵制整合。換句話說，有很多公司提供滲透測(cè)試服務(wù)，其中一些作為更大的產(chǎn)品套件的一部分，還有一些專門從事道德黑客攻擊。下面為大家介紹5家主流的滲透測(cè)試公司：
1. a1qa
a1qa 是一家來自科羅拉多州萊克伍德的軟件測(cè)試公司，在其17年的運(yùn)營(yíng)中，已經(jīng)交付了1,500多個(gè)成功項(xiàng)目并建立了10個(gè)卓越中心。它已與500多家公司建立合作，從小型企業(yè)到財(cái)富500強(qiáng)巨頭。該公司的主要客戶包括阿迪達(dá)斯、卡巴斯基實(shí)驗(yàn)室、SAP、Yandex、Forex Club 等。
a1qa 專門提供全周期 QA 和測(cè)試服務(wù)，包括全面的安全滲透測(cè)試。其專長(zhǎng)包括測(cè)試門戶網(wǎng)站、電子商務(wù)、媒體和電子學(xué)習(xí)平臺(tái)、游戲和在線賭場(chǎng)等網(wǎng)絡(luò)應(yīng)用程序，以及業(yè)務(wù)線測(cè)試，例如 CRM 、協(xié)作、文檔管理和財(cái)務(wù)系統(tǒng)。該公司還經(jīng)營(yíng)了一個(gè)專門的安全測(cè)試實(shí)驗(yàn)室。
2. QA Mentor
2010年成立于紐約的 QA Mentor 已經(jīng)成功建立了強(qiáng)大的全球影響力，在全球設(shè)有12個(gè)測(cè)試中心。其團(tuán)隊(duì)由300名經(jīng)過認(rèn)證的 QA 專業(yè)人員組成，他們成功完成了870多個(gè)項(xiàng)目，其中包括亞馬遜、eBay、博世、HTC等項(xiàng)目。該公司提供30多項(xiàng)測(cè)試服務(wù)，其中包括網(wǎng)絡(luò)安全滲透測(cè)試。
QA Mentor 在 Clutch、GoodFirms 和 Gartner 等研究機(jī)構(gòu)的報(bào)告中，目前均處于行業(yè)領(lǐng)導(dǎo)者象限中。
3. UnderDefense
UnderDefense 是一家經(jīng)過認(rèn)證的計(jì)算機(jī)和網(wǎng)絡(luò)安全公司，于2016 年在紐約成立。它提供廣泛的測(cè)試服務(wù)，特別專注于安全滲透測(cè)試。該公司已經(jīng)執(zhí)行了數(shù)百次滲透測(cè)試，包括特定合規(guī)性測(cè)試、應(yīng)用程序和無線網(wǎng)絡(luò)滲透測(cè)試以及社會(huì)工程安全測(cè)試。UnderDefense 曾多次獲得 Clutch 的獎(jiǎng)項(xiàng)。
4. Iflexion
Iflexion 成立于1999年，是一家全周期軟件開發(fā)公司。如今，該公司已發(fā)展成為擁有850多名IT專業(yè)人員的企業(yè)。其專業(yè)知識(shí)涵蓋從應(yīng)用程序開發(fā)到測(cè)試的廣泛服務(wù)。Iflexion 已與來自不同行業(yè)的500多家公司建立合作，包括PayPal、飛利浦、阿迪達(dá)斯、eBay、施樂、Expedia、畢馬威等。
5. KiwiQA
KiwiQA成立于2009 年，是一家國(guó)際質(zhì)量保證和咨詢公司，擁有超過100名專業(yè)人士團(tuán)隊(duì)，已經(jīng)交付了2,000多個(gè)項(xiàng)目。他們的軟件測(cè)試專業(yè)知識(shí)涵蓋自動(dòng)化、手動(dòng)和創(chuàng)新測(cè)試技術(shù)。公司的安全測(cè)試范圍包括道德黑客攻擊、網(wǎng)絡(luò)安全滲透測(cè)試和漏洞審計(jì)。KiwiQA 被 GoodFirms 和 Clutch 評(píng)為“頂級(jí)測(cè)試公司”。
滲透測(cè)試前景
事實(shí)證明，滲透測(cè)試人員的需求量很大，而且這些工作不僅僅是在獨(dú)立的安全公司，像微軟這樣的大型科技公司也都有完整的內(nèi)部滲透測(cè)試團(tuán)隊(duì)。
北卡羅來納州立大學(xué)的IT職業(yè)部門調(diào)查發(fā)現(xiàn)，僅2020年就有16,000個(gè)職位缺口。不過，需要注意的是，滲透測(cè)試和漏洞分析師的職業(yè)軌跡雖然有許多共同的技能，但漏洞分析師專注于應(yīng)用程序和系統(tǒng)在開發(fā)中或部署之前發(fā)現(xiàn)安全性漏洞，而滲透測(cè)試人員則是探測(cè)活躍系統(tǒng)。
與許多需求旺盛的技術(shù)安全崗位一樣，滲透測(cè)試員可以獲得可觀的薪水。Infosec Institute 對(duì)美國(guó)各區(qū)域的薪酬和職位做出了很好的概述：總體而言，大多數(shù)滲透測(cè)試人員的預(yù)期工資都比較高。這顯然是一份非常有潛力、也很有趣的工作。
滲透測(cè)試培訓(xùn)和認(rèn)證
道德黑客行業(yè)由曾經(jīng)非道德的黑客創(chuàng)立，他們正在尋找一條通往主流和合法途徑的道路，讓他們能夠利用自己的技能賺錢。正如在許多技術(shù)領(lǐng)域一樣，第一代滲透測(cè)試人員主要是自學(xué)成才。雖然仍有通過這種方式培養(yǎng)技能的人，但滲透測(cè)試現(xiàn)在已經(jīng)成為計(jì)算機(jī)科學(xué)或 IT 大學(xué)課程及在線課程中的一個(gè)常見主題，許多招聘經(jīng)理在評(píng)估應(yīng)聘者時(shí)，也會(huì)希望其接受過一些正式培訓(xùn)。
想要證明自己一直在培養(yǎng)滲透測(cè)試技能的最佳方法之一，就是獲得該領(lǐng)域一些被廣泛接受的認(rèn)證。這些證書附帶的許可培訓(xùn)課程是獲得或強(qiáng)化相關(guān)技能的好方法：
▶EC-Council 的認(rèn)證道德黑客 (CEH) 和許可滲透測(cè)試員 (Master) (LPT);
▶IACRB 的認(rèn)證滲透測(cè)試員 (CPT)、認(rèn)證專家滲透測(cè)試員 (CEPT)、認(rèn)證移動(dòng)和 Web 應(yīng)用程序滲透測(cè)試員 (CMWAPT) 和認(rèn)證紅隊(duì)運(yùn)營(yíng)專家 (CRTOP);
▶CompTIA 的 PenTest+ ;
▶GIAC 的滲透測(cè)試員 (GPEN) 和漏洞利用研究員及高級(jí)滲透測(cè)試員 (GXPN);
▶Offensive Security 的認(rèn)證專家、無線專家和資深滲透測(cè)試員。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
