|
在数字战场上，企业需要一种方法来确保他们的防御工作。渗透测试提供可能遇到的攻击类型，但在受控情况下。通过渗透测试，人们会故意攻击应用程序或网络以检查其安全状况。这让企业能够真实地测试其数字安全计划的有效性。一组技术人员利用他们的经验以及专门的渗透测试工具来探测防御以寻找漏洞、配置错误和其他弱点。让我们来看看渗透测试的工作原理、优缺点以及它如何适用于组织。 什么是渗透测试？使用其中一种方法，测试人员然后可以执行几种渗透测试练习中的一种。首先，他们可以进行网络渗透测试，这可能是最常见的类型。他们在客户端本地和从外部世界远程搜索网络基础设施中的漏洞。接下来，他们可以计划并投资于 Web 应用笔测试参与。在这种情况下，他们会检查所有网络应用程序的端点。他们可以测试本地出现的客户端安全漏洞。这种测试还可以发现使企业容易受到社会工程攻击的人类弱点。那么渗透测试与其他类型的测试有何不同？例如，红队模仿渗透测试，因为虚假攻击者有一个设定的练习目标。但红队模拟高级威胁行为者使用规避和隐身来测试组织的防御者（称为“蓝队”）如何响应。相比之下，蓝队事先知道渗透测试。渗透测试也不同于拥有公共漏洞赏金计划，后者邀请黑客和安全研究人员报告真正的漏洞以换取赏金。渗透测试的好处和挑战渗透测试的好处有很多。这是组织可以建立记录的漏洞和风险列表的主要方法之一。届时，可以根据风险对业务的影响对这些风险进行排序，并相应地修复它们。这将通过防止事件中断关键工作来帮助确保业务连续性。它还可以保护客户和合作伙伴并审查（并可能更改）他们现有的安全投资。也就是说，渗透测试并非没有挑战。渗透测试人员是 可能在多个项目中被重复预订的顾问。因此，他们尝试渗透客户网络的时间可能会受到限制，并且在这段时间内，他们可能会尝试重复使用对其他客户有效的策略。这种方法可能并不代表可能分布在不同行业的不同群体所面临的真正安全威胁——当来自同一家公司的几个人每年只进行几次渗透测试时更是如此。最后但并非最不重要的一点是，渗透测试可能会指出漏洞，但这些参与并未纳入组织的安全计划。因此，这些实体可能缺乏及时解决这些问题的资源和工作流程。如何最大化渗透测试的影响牢记这些挑战，组织需要投资以最大限度地提高渗透测试的影响。首先，关注如何最好地为一个人做准备。这应该包括通过提供足够的计划来为测试人员记录范围内的系统，从而提前计划好测试。接下来，不要在参与过程中单方面修复问题，从而有助于顺利进行测试。这并不是说您不能在测试期间实施安全修复。但是您应该就他们的决定与测试人员联系。这可以防止您停止参与并迫使测试人员在进行更改时不断回到相同的系统。一旦完成，组织还需要根据渗透测试的结果采取行动。其中一部分涉及修复测试人员发现的特定问题。但它也涉及审查和增强漏洞管理程序、威胁情报源和其他安全最佳实践。将渗透测试与其他策略结合起来最后但并非最不重要的一点是，组织需要记住，他们不受某种形式的安全测试的约束。他们可以采用不同的渗透测试策略和不同类型的渗透测试。他们还可以建立一个持续的漏洞赏金计划，并探索其他安全测试范例，例如 redteaming。这些测试一起可以提供对组织安全优势和劣势的独特一瞥。然后，该组织可以利用这些知识来加强其未来的数字安全态势。他们将确信他们已经面对了攻击可能带来的一些后果。
|
