渗透测试也许是你的网络防御工具箱当中的重要武器之一。应该视之为各种安全审查的一部分,但要确保审查人员胜任这项工作。
还要确定的是,哪些系统需要测试。虽然你不想漏掉可能会受到攻击的某个系统,但可能仍想分阶段把渗透测试外包出去,以便每个阶段专注于网络的不同部分。
你还应该制订测试准则,譬如说:渗透测试人员可以探查漏洞并进行测试,但不得利用,因为这可能会危及到你想要保护的系统。
为了从渗透测试上获得*大价值,应该向测试组织提供尽可能详细的信息。这些组织同时会签署保密协议,这样,你就可以更放心地共享策略、程序及有关网络的其它关键信息。
渗透测试可以用来向第三方,譬如投资方或者你的管理人员提供网络安全状况方面的具体证据。事实上,你知道网络中存在的漏洞可能已有一段时日,但无法说服管理人员分配必要资源以补救漏洞。光靠自己,网络或安全管理员的意见往往不会被董事会采纳。如果外面的顾问赞同你的评估,或许会有奇迹出现。
此外,你还要提供合适的测试途径。如果你想测试在非军事区(DMZ)里面的系统,*好的测试地方就是在同一个网段内测试。让渗透测试人员在防火墙外面进行测试听起来似乎更实际,但内部测试可以大大提高发现防火墙原本隐藏的服务器安全漏洞的可能性。因为,一旦防火墙设置出现变动,就有可能暴露这些漏洞,或者有人可能通过漏洞,利用一台DMZ服务器攻击其它服务器。还记得尼姆达病毒吗?它就是**攻击得逞后、利用一台Web服务器发动其它攻击的。
有关渗透测试的合同或工作说明应该包括你从所得报告中想要获得的各个方面。如果你请人进行有限的测试,得到的只是计算机生成的报告。而渗透测试的真正价值在于由报告所**出的分析。进行测试的一方会详细介绍发现结果,并说明其重要性。在有的地方,测试人员还会提议采取何种补救方法,譬如更新服务器、禁用网络服务、改变防火墙规则等等。
渗透测试旨在证明,网络防御机制的运行与你认为的一样良好。往往系统和网络管理员视审查人员或渗透人员为敌人,但实际上他们却是朋友。到位的渗透测试可以证明你的防御确实有效,或者查出问题,帮助你阻挡未来攻击。出钱请自己知道的人来发现网络中的漏洞,总比让自己不知道的人发现漏洞好得多。
如今,大多数攻击进行的是*基本的漏洞扫描,如果攻击得逞,目标就岌岌可危。如果攻击者企图对你站点进行漏洞扫描,他就会获得大量的防火墙日志消息,而监控网络的任何入侵检测系统(IDS)也会开始发送有关当前攻击的警报。如果你还没有试过,不妨利用漏洞扫描器结合IDS对网络来一番试验。别忘了首先获得对方的许可,因为,运行漏洞扫描器会使IDS引发警报。
-/gbadeeb/-
苏州渗透测试方案