关于网络安全渗透测试的常见误区 环球焦点
2023-05-30 00:46:14 来源:清一色财经
有一种观念认为渗透测试是面向企业用户的,而不适用于个人用户,这是一种广泛的误解。渗透测试的目的是保护数据,而并非只有企业才拥有敏感数据,现代社会的每个人都会有大量的隐私数据,比如银行信息、信用卡详细信息和医疗记录等。攻击者同样会利用个人信息化应用的漏洞来访问并滥用数据。
从攻击者的角度思考可以更快速了解企业在网络防御方面的不足。网络安全渗透测试工作的本质就是扮演攻击性黑客的角色,梳理企业的IT资产、寻找漏洞和攻击路径,以便更好地修复或应对风险。定期开展渗透测试对企业来说很宝贵,然而很多企业在准备制定渗透测试计划时,他们对渗透测试服务的理解和需求,往往与真实服务情况存在着很多偏差。本文梳理总结了企业在开展渗透测试工作时普遍存在的认知误区,并就如何避免这些错误给出了建议。
(资料图片)
误区1渗透测试总是主动发起的
开展渗透测试的主要目的是抢在攻击者之前发现系统的安全隐患和漏洞,因此渗透测试属于一种主动式的安全技术。但就具体的渗透测试工作而言,有时也会是被动发起的,例如当组织在调查网络攻击的原因时。在网络安全事件调查中,组织可以通过渗透测试以深入了解攻击的性质,并全面掌握该事件是如何发生的,采用的技术的是什么,以及攻击的动机是什么?因此,尽管大多数情况下,组织会主动执行测试以帮助防止违规行为。但渗透测试工作并不都是主动发起的,取证分析期间的渗透测试同样可以帮助企业了解发生了什么,从而帮助组织防止类似的事件再次发生。
误区2渗透测试就是漏洞扫描
由于渗透测试和漏洞扫描都是为了识别潜在的威胁途径,因此很多人会将两者混为一谈。但实际上,漏洞扫描与管理主要包括识别和分类已知漏洞,生成需要注意的优先漏洞列表,并推荐修复它们的方法。而安全威胁非常多样,并不仅限于安全漏洞的利用。渗透测试侧重于模拟攻击者的行为,在服务完成后,测试人员需要生成一份详细报告,说明测试过程中是如何破坏安全性以达到先前商定的目标(例如破坏工资系统),并提供相应的威胁缓解方案。
误区3渗透测试可以完全自动化
渗透测试自动化在理论上看起来不错,但在具体实现中会存在很多问题。为了实现常态化、持续性的安全能力测试,许多企业开始大量使用自动化技术驱动的安全测试方法,但需要指出的是:目前的自动化测试模式大多属于安全扫描,而非真正的渗透攻击测试。不可否认自动化测试的应用价值,但真正的攻击行为是和机器模拟入侵有很大差异的。经验、创造力和好奇心是渗透测试的核心,而这都是专业渗透人员独有的。人工测试是大多数的渗透测试项目不可或缺的,这样才能更好地从攻击者视角发现问题。
误区4渗透测试意味着高成本
企业开展渗透测试工作需要一定的人力、技术和资金资源投入。虽然这些资源可能不容易获取,但它们在预防威胁方面具有的价值却值得组织投入心血。因为与网络攻击造成的经济损失相比,投入到渗透测试的成本可以说是微不足道的。随着数字化转型的深入,各种数据资产对企业而言是无价的,一旦数据被非法泄露,组织的商誉会受到严重损害。而如果攻击者的目标是为了勒索钱财,他们索要的赎金数额通常也会远高于渗透测试的成本预算。
误区5.渗透测试应该由外部人员执行
关于渗透测试有一个长期存在的误区是,外部人员执行渗透测试会比内部人员更有效,其原因是外部人员对企业的数字化系统并不熟悉,因此会更加客观。虽然客观性是渗透测试有效性的关键,但了解业务系统并不就意味着不客观。
因此,渗透测试可由企业内部员工、专业服务商或其他第三方机构完成。渗透测试由标准程序和性能度量组成,只要测试者能够严格遵循测试指导原则,测试结果就是有效的。对于企业而言,选择的重点不应该放在聘请外部或内部测试者上,而是应该放在寻找能够出色完成工作的测试者上。
误区6渗透测试是阶段性的工作
很多企业认为,渗透测试只需要阶段性开展就可以,因为一次测试的报告结果将会长期有效。在网络空间千变万化的发展态势下,这种认知将给企业带来一定的安全风险。由于网络犯罪分子会不停地寻找系统中的漏洞,如果渗透测试间隔时间长,他们就有机会领先于企业发现可利用的新漏洞。传统的渗透测试是按照固定的时间表进行的,属于定期评估的概念。持续渗透测试则是一个不断扫描系统以发现漏洞的过程,会变得越来越重要。
误区7渗透测试仅用于发现技术缺陷
渗透测试的目的是发现组织安全防护体系中的不足。在测试中,测试方可以应用包括社会工程方式在内的多种方法。因此,在渗透测试之前,通常会确定是否需要专门评估某项技术的安全性。在实际应用中,测试工程师可能会被授权做更多事情,例如扫描社交媒体以获取可利用的信息,或尝试通过电子邮件从用户那里获取敏感数据,甚至尝试欺骗获取用户的账号权限等。
误区8所有渗透测试都大同小异
从本质上讲,渗透测试是一个主要依靠安全专家或团队以人工方式模仿攻击者的真实攻击行为,其目的是在数字化基础设施的不同层级找到进入可以攻破目标网络的最有效方法。根据测试方法和目标的不同,渗透测试通常分为外部测试、内部测试、盲测、针对性测试等。
很多企业为了节省成本,往往会选择收费更便宜的测试提供商和测试方式,并认为各种类型测试的结果会很相似,但事实并非如此。与大多数服务一样,渗透测试的程度差异很大,既有覆盖网络所有区域的广泛测试,也有针对网络中少数区域的非广泛测试。企业应该根据实际需求,专注于寻找从测试中获得的价值,而不是成本。
误区9良好的测试结果意味着没有问题
从测试中获得一个好的结果只是一个良好的开始,但组织不应该沾沾自喜,这也不代表企业的网络安全防护工作高枕无忧。只要组织的数字化系统还在运行,它就时刻会面临各种不断出现的新威胁。良好的测试结果只是肯定了过去建设的成绩,并激励组织继续重视在安全方面的投入。企业应该持续性进行渗透测试,以消除新出现的威胁,并确保系统没有威胁。
误区10.渗透测试只适用于企业用户
有一种观念认为渗透测试是面向企业用户的,而不适用于个人用户,这是一种广泛的误解。渗透测试的目的是保护数据,而并非只有企业才拥有敏感数据,现代社会的每个人都会有大量的隐私数据,比如银行信息、信用卡详细信息和医疗记录等。攻击者同样会利用个人信息化应用的漏洞来访问并滥用数据。因此,我们每个人都应该提高数据安全和隐私保护的防范意识,在有条件的情况下,通过渗透测试来检验各种数据的安全性和可靠性。
参考链接:https://www.makeuseof.com/common-myths-about-penetration-testing-debunked/
标签:
相关阅读
- (2023-05-30)关于网络安全渗透测试的常见误区 环球焦点
- (2023-05-30)遵义市新增333个临时摊点,推动城市经济发展与市场活力提升_世界报道
- (2023-05-30)柳林县石西乡:种植早熟大棚瓜助力乡村振兴|世界实时
- (2023-05-29)当前快讯:中新网:中国多地享“舌尖经济”红利 延吉东北亚风味美食受热捧
- (2023-05-29)一环芯,造极境 | 金茂府居然在一环芯造超大实景中庭?
- (2023-05-29)林高远凉了!世乒赛结束,国乒12人仅他没拿牌,或提前无缘奥运会 当前热门
热点推荐
- (2023-05-30)关于网络安全渗透测试的常见误区 环球焦点
- (2023-05-30)省教育厅副厅长刁玉华赴商丘开展专题调研 全球快资讯
- (2023-05-30)兰州市首届百合音乐嘉年华将于5月20日在兰州老街举办 全球观速讯
- (2023-05-30)遵义市新增333个临时摊点,推动城市经济发展与市场活力提升_世界报道
- (2023-05-30)柳林县石西乡:种植早熟大棚瓜助力乡村振兴|世界实时
- (2023-05-29)当前快讯:中新网:中国多地享“舌尖经济”红利 延吉东北亚风味美食受热捧
- (2023-05-29)CSGO开箱子在哪里 CSGO最良心的开箱网站盘点
- (2023-05-29)一环芯,造极境 | 金茂府居然在一环芯造超大实景中庭?
- (2023-05-29)世界观天下!白色真丝衣服发黄怎么洗白_白衣服脏了怎么洗白
- (2023-05-29)迪阿股份:公司暂未涉及培育钻石业务
- (2023-05-29)联特科技:公司目前没有采购ficon TEC的设备 全球短讯
- (2023-05-29)环球即时:德尔玛:公司通过亚马逊等第三方B2C平台开展境外线上直销业务
- (2023-05-29)当前通讯!信质集团:公司已经与大疆无人机进行配套
- (2023-05-29)东方通:公司是华为的重要战略合作伙伴 生态方面在openEuler和openGauss都有战略级合作|世界滚动
- (2023-05-29)林高远凉了!世乒赛结束,国乒12人仅他没拿牌,或提前无缘奥运会 当前热门
- (2023-05-29)英国留学奖学金申请的条件和详细步骤一览
- (2023-05-29)天合光能跌16.34% 机构净卖出4.52亿元_环球速递
- (2023-05-29)中国计划在2030年前实现首次登月,已部署开展各项研制建设|今日报
- (2023-05-29)天天热文:以重点项目建设赋能阿克苏地区经济高质量发展
- (2023-05-29)长白山农商行全面开展“春风行动”
- (2023-05-29)“三举措”织密反诈防护网
- (2023-05-29)四川什邡食用菌(黄背木耳)产业高质量发展大会举行
- (2023-05-29)农发行阿克苏地区分行审批28.54亿元备战夏粮收购-世界即时
- (2023-05-29)全球热文:*ST中捷收到深交所问询函 因借款合同纠纷案共计提预计负债9.56亿元
- (2023-05-29)天天观点:丹青丝路书画笔会活动在京举办
- (2023-05-29)5月基金调研剑指机械设备、医药生物、AI,这三家公司被调研次数均超过50次_当前热文
- (2023-05-29)全球快看:ST工智收到深交所问询函 涉及治理层和管理层频繁变动
- (2023-05-29)跨境通收到深交所问询函 被指净利润与营业收入降幅不匹配|环球速看
- (2023-05-29)华金资本(000532)5月19日股东户数3.56万户,较上期增加1.27%
- (2023-05-29)今日播报!新闻观察丨美国债务警报不断的病根是美元霸权
- (2023-05-29)油价上调倒逼行业变革 传统加油站转型或将加速|热点在线
- (2023-05-29)从客需出发提质增效 国海证券资管的进阶之路 环球头条
- (2023-05-29)逸豪新材:与生益科技、南亚新材等行业内知名企业建立了合作关系
- (2023-05-29)中国星辰|三种类型 不同任务 “神十六”乘组各个履历丰富令人敬佩|最资讯
- (2023-05-29)戛纳电影节闭幕红毯,谁惊艳了你的眼眸!
- (2023-05-29)资讯推荐:食品饮料连跌五天回调超4.5%,何时反转?
- (2023-05-29)天天快看:千亿光伏龙头大跌!光伏历史大底来了?
- (2023-05-29)【新视野】未央今日播报:香港虚拟资产交易平台营运营牌照6月1日起申领 中国银联借记卡交易份额首次超越Visa
- (2023-05-29)环球消息!《小美人鱼》:迪士尼真人公主片是否魂魄全失?
- (2023-05-29)黑色持仓日报:铁矿石涨4.89%,中信期货减持超7千手螺纹钢空单
- (2023-05-29)上期所:关于低硫燃料油品种保税标准仓单交易上线挂牌基准价的通知
- (2023-05-29)燃料油宏观压力仍存 后期汽油消费有望维持高位
- (2023-05-29)海上石油开发再添利器!万吨海上油气平台来了_动态
- (2023-05-29)天天关注:沙特大量购进俄石油 将本国成品油出口欧洲
- (2023-05-29)短讯!宁波中策首台大功率高压共轨船用柴油机成功试航
- (2023-05-29)require和request的区别 require与request的区别
- (2023-05-29)环球新消息丨芝士蛋糕可以冷冻吗,芝士蛋糕能冷冻吗?
- (2023-05-29)网易灵犀携手合作伙伴打造全新商业生态!一文回顾2023网易灵犀合作伙伴大会
- (2023-05-29)四川木里森林火灾已投入近千人扑救 全球简讯
- (2023-05-29)快资讯:京山轻机:电池片环节如钙钛矿领域也是公司核心研发投入的方向之一
- (2023-05-29)美利信:公司的产品未直接运用到C919等飞机零部件产品上-每日速读
- (2023-05-29)精准信息:公司矿用AI智能视频分析系统的开发基本完成 已计划试验局阶段
- (2023-05-29)科创信息:公司参股的华自卓创主要聚焦人工智能领域-天天快讯
- (2023-05-29)满坤科技:公司拥有完善的PCB生产流程
- (2023-05-29)花冠汽车轮胎多久换一次(花冠多久换一次轮胎?)|要闻速递
- (2023-05-29)今日最新!宁夏法院网案件查询_宁夏法院案件信息查询
- (2023-05-29)焦点日报:中超积分榜:三队保持不败海港领跑 南通大连人垫底
- (2023-05-29)明新旭腾:公司目前主要关注多元化汽车内饰材料的研发和生产
- (2023-05-29)德迈仕:公司未直接向特斯拉供货 但公司电枢轴等多个量产产品已应用于特斯拉汽车中|每日快看
- (2023-05-29)立讯精密:公司有针对硅光芯片级封装设备的采购安排
- (2023-05-29)【速看料】真兰仪表:公司尚未涉及光模块、光通信CPO产品和业务
- (2023-05-29)焦点速讯:香港反洗钱新规生效,合规要点全整理
- (2023-05-29)信息:探索超30个保险场景应用!众安发布行业首份AIGC应用白皮书
- (2023-05-29)天津锌:市场接货情绪不佳 整体交投情况一般-每日头条
- (2023-05-29)商务部部长王文涛会见日本经济产业大臣西村康稔
- (2023-05-29)传播硬实力 奋进新征程 “江城百臻”绽放央视荧屏
- (2023-05-29)比亚迪:拥有常压油箱燃油蒸汽排放控制技术 愿共享核心技术专利
- (2023-05-29)神州信息助力多家区域性银行上线权益生态服务,推进数字化运营落地
- (2023-05-29)特一药业:公司持有碘化钾的原料药批件 目前暂未生产
- (2023-05-29)平治信息:深圳兆能是公司的全资子公司
- (2023-05-29)沃森生物:公司在mRNA技术平台上已有多款产品布局
- (2023-05-29)世界即时看!描写花的佳句_写花的句子大全
- (2023-05-29)高澜股份(300499)盘中异动 股价振幅达8.25% 上涨6.77%(05-29)
- (2023-05-29)大中街道念实秸秆“双禁”紧箍咒|当前聚焦
- (2023-05-29)世界简讯:便民之路即是“财富”之路
- (2023-05-29)江苏如皋吴窑镇拓宽高科技项目落地|世界速看
- (2023-05-29)全球快报:农发行黑龙江省分行举办第二期调查评估暨 “1+3”业务骨干培训班
- (2023-05-29)田间党旗分外红 助力农忙暖人心
- (2023-05-29)中荷人寿适老化改造“管家” 为老年人居家生活系上“安全带”
- (2023-05-29)山姆超市同款蛋糕,杭州卖165上海卖95,为什么两个地方价格差那么多?|世界热议
- (2023-05-29)东方快评丨“高启强”无缘白玉兰奖,请淡定看待
- (2023-05-29)世界最新:今天湖南仍以晴热天气为主 明天大部分地区有阵性降雨
- (2023-05-29)每日观察!区块链研发应用需保障产业链供应链安全稳定
- (2023-05-29)厦门国际银行珠海分行助力珠海经济高质量发展
- (2023-05-29)全球热文:新品首发!鹿山新材亮相SNEC 2023上海光伏展
- (2023-05-29)V观财报|金科股份澄清:与相关合作方未签署任何协议 世界速看料
- (2023-05-29)【天天新要闻】U17国少无奈取消日本拉练计划 返云南“闭门苦练”
- (2023-05-29)五粮液股票开盘价格多少?五粮液股票可以长期持有吗?
- (2023-05-29)全国养老金一览表2023年最新 2023年定额调整多少钱?
- (2023-05-29)镁矿上市公司储量排名 云海金属镁矿储量有多少?
- (2023-05-29)乡村迈上共富共美路
- (2023-05-29)【老夏论金】黄金1938多大涨1957再次大赚,今天继续做多
- (2023-05-29)全球最新:奖簇两重 | 鹿山如何插上创新之翼腾飞?
- (2023-05-29)东方雨虹GES-M1基层处理剂无惧潮湿,以诚相见
- (2023-05-29)环球新资讯:精锻科技:泰国工厂计划2024年年底前投产 主要客户也包括全球市场
- (2023-05-29)快手财报冰与火:喜提盈利,憾负抖音
- (2023-05-29)三川智慧:公司与华为数字能源技术合作领域主要是江西三川新能源有限公司采购华为数字能源生产的逆变器用于光伏发电
- (2023-05-29)测绘股份:公司拥有的相关专利名称为“一种基于车载激光雷达数据自动提取道路地形图高程点的方法”
- (2023-05-29)「为爱逐浪·铂动心弦」-2023武汉「Pt铂金艺术空间」于武商·MALL世贸盛大开启
- (2023-05-29)中国核电什么时候开盘?中国核电为什么被折价卖?