企業(yè)重視滲透測(cè)試的安全審查，無疑是想證明網(wǎng)絡(luò)防御和你預(yù)想的一樣有效?，F(xiàn)在來講，大部分的攻擊一般都是基于最基本的漏洞掃描，攻擊一旦成功，那么目標(biāo)立即會(huì)受到威脅。我們企業(yè)組織進(jìn)行好的滲透測(cè)試就可以證明你的防御是有效的。如果發(fā)現(xiàn)了自然會(huì)有助于阻止未來攻擊。所以系統(tǒng)和網(wǎng)絡(luò)管理員應(yīng)把審查者和滲透者應(yīng)視為朋友，對(duì)于滲透測(cè)試的安全審查也是非常必要的，因?yàn)樗赡苁悄木W(wǎng)絡(luò)防御工具箱中一個(gè)極為重要的武器之一。

滲透測(cè)試是指滲透者在不同的地點(diǎn)，例如內(nèi)部網(wǎng)、外部網(wǎng)等等，對(duì)特定的網(wǎng)絡(luò)進(jìn)行測(cè)試，以便發(fā)現(xiàn)和挖掘系統(tǒng)中的漏洞，然后輸出滲透測(cè)試報(bào)告并提交給網(wǎng)管。網(wǎng)主可以根據(jù)滲透者提供的滲透性測(cè)試報(bào)告，清楚地了解系統(tǒng)中存在的安全隱患和問題。

在目標(biāo)網(wǎng)絡(luò)外部進(jìn)行滲透模擬，除已知的被測(cè)目標(biāo)信息外，不提供其它信息。滲透者完全處于對(duì)目標(biāo)網(wǎng)絡(luò)系統(tǒng)一無所知的狀態(tài)。他們只能通過網(wǎng)絡(luò)、電子郵件等網(wǎng)絡(luò)向公眾提供各種服務(wù)器進(jìn)行掃描和檢測(cè)。從獲得的公共信息中，測(cè)試決定滲透的計(jì)劃和步驟。黑盒子滲透測(cè)試通常用來模擬網(wǎng)絡(luò)外部的攻擊行為。

安全審查：滲透性測(cè)試的目的是證明網(wǎng)絡(luò)防御和你想的一樣有效。通常，系統(tǒng)和網(wǎng)絡(luò)管理員把審查者和滲透者視為敵人，而實(shí)際上他們是朋友。進(jìn)行好的滲透測(cè)試可以證明你的防御是有效的，或者發(fā)現(xiàn)有助于阻止未來攻擊的問題。花錢讓自己知道的人去找網(wǎng)絡(luò)漏洞，比讓自己不知道的人去找漏洞要好得多。

滲入測(cè)試可用于向第三方，例如投資方或你的管理層提供有關(guān)網(wǎng)絡(luò)安全狀況的具體證據(jù)。實(shí)際上，你知道這個(gè)網(wǎng)絡(luò)漏洞可能已經(jīng)存在了一段時(shí)間了，但是并不能說服管理者分配必要的資源來修復(fù)這個(gè)漏洞。僅僅依靠自己，網(wǎng)絡(luò)或安全管理人員的意見通常不會(huì)被董事會(huì)接受。假如外界的顧問同意你的評(píng)估，也許會(huì)有奇跡發(fā)生。

關(guān)于滲透測(cè)試的合同或工作說明應(yīng)包含您希望在收入報(bào)告中得到的所有方面。假如你要求別人做一個(gè)有限制的測(cè)試，得到的是電腦生成的報(bào)告。滲透性測(cè)試的真正價(jià)值是從報(bào)告中得到的分析結(jié)果。執(zhí)行測(cè)試的一方將詳細(xì)描述這些發(fā)現(xiàn)，并說明其重要性。還有一些地方的測(cè)試者提出了一些解決辦法，比如更新服務(wù)器，禁用網(wǎng)絡(luò)服務(wù)，修改防火墻規(guī)則等等。

現(xiàn)在，大部分的攻擊都是基于最基本的漏洞掃描，一旦成功，目標(biāo)就會(huì)受到威脅。當(dāng)一個(gè)攻擊者試圖掃描你的網(wǎng)站時(shí)，他會(huì)收到一大堆防火墻日志信息，任何監(jiān)控網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)(IDS)都會(huì)發(fā)出當(dāng)前攻擊的警告信息。假如您尚未嘗試，不妨利用漏洞掃描器結(jié)合IDS對(duì)網(wǎng)絡(luò)進(jìn)行一次全面的測(cè)試。不要忘記先取得對(duì)方的許可，因?yàn)檫\(yùn)行漏洞掃描程序會(huì)讓IDS發(fā)出警告。

以上我們介紹了滲透測(cè)試的安全審查以及未來發(fā)展的問題，企業(yè)組織應(yīng)將此視為各種安全檢查的一部分，并且要確保檢查人員能夠勝任此項(xiàng)工作，讓企業(yè)網(wǎng)路防御做得更好。如果您想了解更多信息，請(qǐng)您繼續(xù)關(guān)注中培偉業(yè)。