什么是渗透测试?黑客安全专家郭盛华这样说

发布网友 发布时间：2022-04-28 18:21

我来回答

共2个回答

好二三四 时间：2022-06-13 07:22

渗透测试是什么？

渗透测试，是为了证明网络防御按照预期计划正常运行而提供的一种机制。不妨假设，你的公司定期更新安全策略和程序，时时给系统打补丁，并采用了漏洞扫描器等工具，以确保所有补丁都已打上。如果你早已做到了这些，为什么还要请外方进行审查或渗透测试呢？因为，渗透测试能够独立地检查你的网络策略，换句话说，就是给你的系统安了一双眼睛。而且，进行这类测试的，都是寻找网络系统安全漏洞的专业人士。

渗透测试是对计算机系统的授权模拟攻击，用于评估系统的安全性。执行测试以识别两个缺点（也称为漏洞），包括未授权方访问系统的特征和数据的可能性，以及优点，使得能够完成完整的风险评估。该过程通常识别目标系统和特定目标，然后审查可用信息，并采取各种手段来实现该目标。

渗透测试目标可以是白盒（提供背景和系统信息）或黑盒（只提供基本信息或除了公司名称不提供任何信息）。灰盒穿透测试是二者的结合（其中目标有限的知识与审计人员共享）。渗透测试可以帮助确定一个系统是否容易受到攻击，如果防御足够，以及测试是否打败了哪些防御（如果有的话）。渗透测试发现的安全问题应该报告给系统所有者。渗透测试报告也可以评估对组织的潜在影响，并提出降低风险的对策。

美国国家网络安全中心（National Cyber Security Center）将渗透测试描述如下：“一种方法，通过试图破坏某个IT系统的部分或全部安全性，使用与对手相同的工具和技术，来获得对该IT系统的安全性的保证。”

渗透测试的目标根据针对任何给定参与的已批准活动的类型而有所不同，其中主要目标是发现可被邪恶行为者利用的漏洞，并将这些漏洞与建议的缓解策略一起通知客户。 渗透测试是全面安全审计的一个组成部分。

例如，支付卡行业数据安全标准要求在定期日程表和系统更改之后进行渗透测试。缺陷假设方法是一种系统分析和渗透预测技术，其中通过对系统的规范和文档的分析来编译软件系统中的假设缺陷列表。然后，根据所估计的缺陷实际存在的概率，以及在控制或折衷的范围内易于利用该漏洞，对假设缺陷列表进行优先级排序。优先级列表用于指导系统的实际测试。 

以上就是小编的分享，希望可以帮助到大家。

热心网友 时间：2022-06-13 04:30

近日，国内知名黑客安全专家、东方联盟创始人郭盛华表示：“渗透测试是针对您的非恶意计算机系统的模拟网络攻击，以检查可利用的漏洞。这是一系列针对性的非恶意攻击，旨在破坏您的网络安全防护。但是，渗透测试和真实黑客攻击之间的区别在于，渗透测试是由道德安全专家进行的，他们将提取的数据保密，最终帮助您改善安全状况。”

我们模拟了一个外部攻击者，试图利用您面向Internet的网络和应用程序来帮助您确定外围的可利用漏洞和弱点，这些漏洞和弱点会让您暴露在危险之中。

渗透测试与漏洞评估

渗透测试和漏洞评估之间的主要区别在于，尽管两者都从初始扫描和发现的漏洞的调查开始，但是在漏洞评估期间不会执行攻击媒介，例如社交工程，外部/内部网络服务，Web应用程序等。 

将漏洞评估和渗透测试视为对整体网络安全计划的同等重要投资。但是，渗透测试需要更长的时间，并且是一项更广泛的研究。

要了解有关使它们与众不同的更多信息，请阅读我们的博客“渗透测试与漏洞评估：关键差异”。

渗透测试的6种类型

当一家公司说他们将进行一次渗透测试时，重要的是找出他们提供的渗透测试。

有六种核心类型：

外部网络

内部网络

社会工程学

物理

无线

网络/移动应用

在筛选任何公司之前，请详细了解有关6种渗透测试的类型。

渗透测试的四个阶段

无论渗透测试的类型如何，通常都有四个阶段，所有这些阶段都应得到同等的重视：

规划

进攻前

攻击

进攻后

虽然很容易假设进行攻击就很重要，但是任何妥协的成功通常取决于实际利用之前和之后发生的事情。

郭盛华说：“社交工程攻击之所以有效，是因为黑客在植入诱饵之前先与受害者建立了关系并建立了信任，这意味着在发送被恶意软件感染的链接或不良行为者要求接收者执行任务之前，会进行很多策略和缓慢的滋养。?”（欢迎转载分享）

本文来源于汽车之家车家号作者，不代表汽车之家的观点立场。