渗透测试中的攻与守

　　从守方视角看渗透

　　当具备渗透测试攻击经验的人们站到系统管理员的角度，要保障一个大网的安全时，我们会发现，需要关注的问题是完全不同的：从攻方的视角看，是“攻其一点，不及其余”，只要找到一点漏洞，就有可能撕开整条战线；但从守方的视角看，却发现往往“千里之堤，毁于蚁穴”。因此，需要有好的理论指引，从技术到管理都注重安全，才能使网络固若金汤。

　　渗透测试的必要性

　　渗透测试利用网络安全扫描器、专用安全测试工具和富有经验的安全工程师的人工经验对网络中的核心服务器及重要的网络设备，包括服务器、网络设备、防火墙等进行非破坏性质的模拟黑客攻击，目的是侵入系统并获取机密信息并将入侵的过程和细节产生报告给用户。

　　渗透测试和工具扫描可以很好的互相补充。工具扫描具有很好的效率和速度，但是存在一定的误报率和漏报率，并且不能发现高层次、复杂、并且相互关联的安全问题；渗透测试需要投入的人力资源较大、对测试者的专业技能要求很高（渗透测试报告的价值直接依赖于测试者的专业技能），但是非常准确，可以发现逻辑性更强、更深层次的弱点。

　　微软在其IT攻击和渗透测试团队的任务描述中提到，他们内部有一支渗透测试团队，日常的工作流程如下：

　　时间选择

　　为减轻渗透测试对网络和主机的影响，渗透测试时间尽量安排在业务量不大的时段或晚上。

　　策略选择

为防止渗透测试造成网络和主机的业务中断，在渗透测试中不使用含有拒绝服务的测试策略

　　授权渗透测试的监测手段

　　在评估过程中，由于渗透测试的特殊性，用户可以要求对整体测试流程进行监控（可能提高渗透测试的成本）。

　　测试方自控

　　由渗透测试方对本次测透测试过程中的三方面数据进行完整记录：操作、响应、分析，最终形成完整有效的渗透测试报告提交给用户。

　　用户监控

　　用户监控有四种形式，其一全程监控：采用类似Ethereal的嗅探软件进行全程抓包嗅探；其二择要监控：对扫描过程不进行录制，仅仅在安全工程师分析数据后，准备发起渗透前才开启软件进行嗅探；其三主机监控：仅监控受测主机的存活状态，避免意外情况发生；其四指定攻击源：用户指定由特定攻击源地址进行攻击，该源地址的主机由用户进行进程、网络连接、数据传输等多方监控。 

图1：软件开发的生命周期及渗透测试的地位
　

图2：渗透测试技术流程图 　　

图3：微软IT攻击与渗透团队工作流程

　　备注：网络信息搜集

　　使用PING Sweep、DNS Sweep、SNMP Sweep、Tracert等手段对主机存活情况、DNS名、网络链路等进行信息收集。可以对目标的网络情况、拓扑情况、应用情况有一个大致的了解，为更深层次的渗透测试提供资料。

　　保守策略选择

　　对于不能接受任何可能风险的主机系统，如银行票据核查系统，电力调度系统等，可选择如下保守策略：

　　1)复制一份目标环境，包括硬件平台，操作系统，数据库管理系统，应用软件等。

　　2)对目标的副本进行渗透测试。

上一页  [1] [2]