滲透測試是完全模擬黑客可能使用的攻擊技術(shù)和漏洞發(fā)現(xiàn)技術(shù)，對目標(biāo)系統(tǒng)的安全做深入的探測，發(fā)現(xiàn)系統(tǒng)脆弱的環(huán)節(jié)，用來發(fā)現(xiàn)信息安全防御體系中漏洞的一種常用方法。 | ||
 | ||
| 服務(wù)內(nèi)容 | ||
首先由客戶對滲透測試方案和滲透測試行為進(jìn)行授權(quán) 然后對開式對滲透目標(biāo)進(jìn)行信息收集，包括網(wǎng)絡(luò)、端口/服務(wù)、應(yīng)用等信息的收集 收集目標(biāo)的信息后，將根據(jù)目標(biāo)存在的漏洞信息進(jìn)行人工+工具的滲透測試，利用SQL注入，跨站注入等檢測方式獲取目標(biāo)系統(tǒng)的重要執(zhí)行權(quán)限 隨后對滲透測試實(shí)施記錄進(jìn)行分析整理，向客戶詳細(xì)講解、分析問題，同時對測試過程中發(fā)現(xiàn)發(fā)現(xiàn)的問題給出相關(guān)的安全建議 | ||
 | ||
滲透測試?yán)酶鞣N安全掃描器對網(wǎng)站及相關(guān)服務(wù)器等設(shè)備進(jìn)行非破壞性質(zhì)的模擬入侵者攻擊，目的是侵入系統(tǒng)并獲取系統(tǒng)信息并將入侵的過程和細(xì)節(jié)總結(jié)編寫成測試報告，由此確定存在的安全威脅，并能及時提醒安全管理員完善安全策略，降低安全風(fēng)險。滲透目標(biāo)大致分為以下幾類： | ||
· 主機(jī)操作系統(tǒng)滲透 對Windows、Solaris、Linux、SCO、SGI等操作系統(tǒng)進(jìn)行滲透測試。 · 數(shù)據(jù)庫系統(tǒng)滲透 對MS-SQL、Oracle、MySQL、Informix、Sybase、DB2等數(shù)據(jù)庫應(yīng)用系統(tǒng)進(jìn)行滲透測試。 · 應(yīng)用系統(tǒng)滲透 對滲透目標(biāo)提供的各種應(yīng)用，如ASP、CGI、JSP、PHP等組成的WWW應(yīng)用進(jìn)行滲透測試。 · 網(wǎng)絡(luò)設(shè)備滲透 對各種防火墻、入侵檢測系統(tǒng)、網(wǎng)絡(luò)設(shè)備進(jìn)行滲透測試 · 內(nèi)網(wǎng)測試 內(nèi)網(wǎng)測試指的是測試人員從內(nèi)部網(wǎng)絡(luò)發(fā)起測試，這類測試能夠模擬內(nèi)部違規(guī)操作者的行為。主要的“優(yōu)勢”是繞過了防火墻的保護(hù)。內(nèi)部主要可能采用的滲透方式：遠(yuǎn)程緩沖區(qū)溢出，口令猜測，以及B/S或C/S應(yīng)用程序測試（如果涉及C/S程序測試，需要提前準(zhǔn)備相關(guān)客戶端軟件供測試使用）。 · 外網(wǎng)測試 外網(wǎng)測試指的是測試人員完全處于外部網(wǎng)絡(luò)（例如撥號、ADSL或外部光纖），模擬對內(nèi)部狀態(tài)一無所知的外部攻擊者的行為。包括對網(wǎng)絡(luò)設(shè)備的遠(yuǎn)程攻擊，口令管理安全性測試，防火墻規(guī)則試探、規(guī)避，Web及其它開放應(yīng)用服務(wù)的安全性測試。 滲透測試過程中可能對業(yè)務(wù)產(chǎn)生影響，可以采取以下措施來減小風(fēng)險：
| ||
| 服務(wù)價值 | ||
對信息安全系統(tǒng)整體進(jìn)行了一次“實(shí)戰(zhàn)演練”，在實(shí)戰(zhàn)中鍛煉安全維護(hù)團(tuán)隊(duì)?wèi)?yīng)變能力 系統(tǒng)評估了業(yè)務(wù)系統(tǒng)在技術(shù)與運(yùn)維方面的實(shí)際水平，管理者清楚了目前的防御體系可以抵御什么級別的入侵攻擊 發(fā)現(xiàn)安全管理與系統(tǒng)防護(hù)中的漏洞，可以有針對性地進(jìn)行加固與整改 若頂起進(jìn)行滲透測試服務(wù)，不僅可以逐步提高系統(tǒng)安全的防御能力，而且可以保持管理人員的警覺性，增強(qiáng)防范意識 |
|
||||
Copyright© 重慶秉通精益信息技術(shù)有限公司 | |
渝公網(wǎng)安備 50010702502937號