欢迎访问Sunbet官网(www.sunbet.us),Allbet欧博官网(www.ALLbetgame.us)!

首页Sunbet_新闻事件正文

渗透测试评估风险的简要指南Part 2

admin2020-09-1422新闻

在上一篇文章中我们了解了风险评估的重要性,有效风险评估的三个阶段以及渗透测试的三个类型。但是,渗透测试的风险也是存在的,下面让我们深入的了解它们。

渗透测试要考虑的因素

如果由经验不足的测试人员进行或测试时出现错误,则渗透测试带来的损害可能大于收益。在进行测试之前,您需要考虑此测试的主要缺点。

以下是一些关键的渗透测试风险:

· 为错误操作付出高昂代价。渗透测试人员可以使用敏感数据和基础架构。如果测试未正确执行,它们可能会使服务器崩溃并暴露或破坏数据。需要考虑的安全风险,尤其是在黑盒测试期间。

· 不合规的测试会让结果产生偏移。如果您的安全团队知道即将进行的测试或自己进行测试,他们可能会事先为此做好准备。任何安全评估的重点都是要按照规定的模式去实施的。如果在不合规的环境中进行渗透测试,那所得到结果就没有意义了。

· 时间和范围限制。与任何过程一样,要进行渗透测试是一项技术任务,并且需要准备报告的截止日期。这限制了渗透测试者可以使用的漏洞利用数量,特别是如果您雇用了第三方测试组织。另一方面,黑客通常没有时间计划攻击。因此,您不能依靠渗透测试的一个实例来提高网络安全性,尤其是在时间上受到严格限制的情况下。 

不过,尽管如此,渗透测试带来的好处是大于风险。另外,有几种最佳做法可以帮助您解决我们所讨论的问题

获得最佳测试结果

每个测试团队都有独特的渗透测试方法,并且每个过程都有独特的结果。我们准备了一系列操作,可以帮助您从此安全评估中获得最佳结果。

渗透测试评估风险的简要指南Part 2  新闻 第1张

如何改善这一过程

1.聘请合格的第三方进行渗透测试。

进行内部测试很诱人,因为它可以节省大量时间和金钱。但是,由于以下原因,它不能保证结果无偏见: 

· 可能缺乏专业知识

· 不合规性的存在

· 无法模拟真实的攻击

通过第三方组织,您将获得专门的渗透测试人员,并获得全新的安全控制手段。开始进行笔试之前,请与您的供应商讨论您的范围、预算、时间限制和先前抗议的结果。

2.力争最大程度地覆盖测试。

任何环境都是不可分割的系统,因此应将其作为系统而不是独立的部分进行测试。如果您只测试并保护了一部分环境,则始终存在黑客仍然能够通过操作系统、硬件或其他软件中的漏洞访问该环境的风险。低测试覆盖率和部分测试只会导致威胁依旧存在。只有在需要重新检查渗透测试后制作安全补丁时,才进行此类测试是合理的。

3.不要急于准备测试。

在攻击前阶段,测试人员评估漏洞,武器化自己并准备测试方案。但是从测试团队外部来看,攻击者攻击时,几乎没有什么准备时间,一切以实际发生威胁的状况进行。可以不时询问测试过程,但是请确保不要急于准备阶段。请记住,这是一个耗时的过程。对于黑盒测试,此阶段有时可能会占用总时长的90%。

4.使用相关的渗透测试标准。

每个测试环境都需要一种独特的方法。尽管如此,渗透测试仍有行业认可的标准。使用这些标准来指导您的内部团队,或确保您的第三方供应商使用它。最受欢迎的是:

· 渗透测试执行标准

· OWASP Web应用程序渗透性检查表 [PDF]

· PCI DSS渗透测试指南 [PDF]

· CREST渗透测试指南 [PDF]

5.进行渗透测试时停止开发过程。

渗透测试可以发现某些环境下的威胁和风险。如果您决定在测试过程中更改现有参数或部署新软件,则会影响最终结果。最好在测试之前完成您的开发活动,以保证它包含在新测试范围的环境中。

6.测试后检查安全措施和数据的完整性。

测试之后,测试团队应清除自己的足迹:关闭创建的后门程序、删除利用脚本和临时文件、反向设置更改等。但是,您应仔细检查以下内容:

· 为测试目的而创建的安全漏洞已关闭

· 测试人员的用户帐户已删除

· 受损的凭证已更改

如果您选择一个高技能的测试团队,使用我们上面列出的做法,并实施控制措施以减轻发现的风险,您的网络安全将进一步提高! 

7.不要忽略补救措施。

渗透测试供应商通常会在其报告中提供有关风险补救的建议。如果很少进行渗透测试(一年或更短时间)或包含大量任务,则可能会发现很多关键风险,并且补救措施将需要大量时间和金钱。 

当然,为了降低成本,您可以推迟补救或仅解决最关键的问题。但是,如果您觉得没有足够的资源来执行渗透测试的结果,那么最好将自己局限于内部漏洞扫描,而不是进行全面渗透测试。

结论

风险评估是风险管理流程中难以执行但至关重要的部分。它可以帮助您评估组织的网络安全风险并确定其优先级。进行风险评估的方法很多,包括渗透测试、红队测试和基于风险的测试。但是不要怀疑此过程中渗透测试的重要性:它可以对安全控制进行复杂的评估,并会模拟对受保护环境的真实攻击。


本文翻译自:https://www.apriorit.com/dev-blog/676-cybersecurity-risk-assessment-with-pentesting
内存加载Seatbelt的实现

0x00 前言 Seatbelt是一个C#项目,可以用来对主机进行安全检查,在进攻和防御的角度都能发挥作用。 通过一条命令,就能够获得当前主机的多项配置信息,方便实用。 为了能够扩展Seatbelt的使用场景,在不修改Seatbelt任何代码的前提下,本文将要介绍两种通过内存加载Seatbelt的方法(Assembly.Load和execute-assembly),分别补全向.NET程序集的Main函数传入参数的实现代码。 之前的文章《从内存加载.NET程序集(Assembly.Load)的利用分析》和《从内存加载.NET程序集(execute-assembly)的利用分析》 只介绍了向指定类的方法传入参数的实现代码。 0x01 简介 本文将要将介绍以下内容: · Seatbelt的编译和使用 · 使用Assembly.Load加载Seatbelt并传入参数的方法 · 使用execute-assembly加载Seatbelt并传入参数的方法 · Visual Studio2015在64位平台下使用汇编代码的方法 0x02 Seatbelt的编译和使用 1.编

网友评论