滲透測試的解釋：

　　安全診斷主要有三種類型：滲透測試、審計和評估（被不同地描述為評估和風險評估）。單獨使用任何一種測試都不可以很好的進行。在測量系統(tǒng)安全的時候，必須要在合適的時間執(zhí)行合適的測試。還有一點非常重要，是所選擇的測試要基于企業(yè)的需要，而不是測試者（不管他們是內部員工還是外來的咨詢人員）的技術（或者因為對技術的缺乏）。

　　滲透測試：

　　滲透測試的名聲響，因為每個人都聽說過，而且“知道”滲透測試是專家用于確保系統(tǒng)安全的。滲透測試目前很有吸引了，但是卻是在大部分情況下使用少得系統(tǒng)診斷方法。

　　先說重要的事情：正確執(zhí)行的滲透測試是秘密的測試，其中由咨詢人員或者內部人員扮演惡意攻擊者，攻擊系統(tǒng)的安全性。因為終目的是滲透，這種測試不會發(fā)出警告，完全保密（當然，上層管理人員同意進行測試并且理解秘密的要求）。理想的是，應該沒有來自企業(yè)的支持……或者，大限度的是指出哪些是滲透測試團隊應該避免的。很顯然，如果企業(yè)外包了滲透測試，客戶應該讓咨詢者知道具體的目的是什么。測試可以設計為模仿內部或者外部的攻擊。它可以技術性的，也可以是非技術性的（例如，測試者可以使用社交工程師的方式進入網(wǎng)絡）。在目標企業(yè)中，只能有一部分人知道測試。測試的關鍵的一方面是看企業(yè)是否能檢測到滲透企圖。處于這個原因，批準正式回應的人應該也被包括進去。

　　現(xiàn)在，為什么滲透測試不如它說明的那么有用？因為它的目標是攻擊安全。為了這么做，這個團隊要鑒別可能的漏洞，重點是那些他們認為會產生結果，而不太可能被檢測到的（從黑客的角度）。在這一點上，客戶可以看到對這些漏洞的攻擊可以產生什么樣的破壞。但是，在運行測試的時候，測試員不會發(fā)現(xiàn)所有的漏洞，甚至不能確定測試可能檢測到的所有漏洞的存在。滲透測試所能夠證明的是系統(tǒng)可以被攻擊。它不能對每一個漏洞進行記錄，只能是那些在測試中被利用的漏洞。所以，雖軟滲透測試可以推斷出其他問題，但是任何滲透測試員都不能說已經(jīng)鑒別到了客戶的所有安全問題??或者甚至是大部分。

　　那么，滲透測試有什么作用呢？處于各種內部原因，有些企業(yè)需要有說服力的論據(jù)說明不充分的安全可能導致重大損失。執(zhí)行情況良好的滲透測試當然可以證明。為了從業(yè)務的角度使?jié)B透測試起作用，企業(yè)價值可能的損失必須要強有力的并生動的證明出來，要超出企業(yè)的電腦被攻擊的事實。

　　有時，應該進行秘密滲透測試，看看安全策略是否被遵守了。雖然公開的測試也可以調查人們是否遵守了策略，但是在不知道被監(jiān)視的時候人們會有不同的表現(xiàn)，這是人類的天性。例如，XYZ公司的安全策略禁止終端用戶在電話中泄露密碼，除非他們自己主動打電話到服務臺。很明顯，如果外部的咨詢人員走到終端用戶那里，并問：“你有沒有把你的密碼告訴過你不認識的人？”答案通常是沒有。但是如果測試人員打電話給用戶，情況不同了，假扮成IT部門的同事，并向用戶詢問他或她的密碼，這樣測試人員可以“確認”了。這樣的社會工程滲透技術是確定是否遵守安全策略的更可靠的方法。

　　標準滲透測試的道德黑客技術

　　問：我近為我們公司的合作伙伴作了一次滲透測試，發(fā)現(xiàn)管理層沒有獲得合作伙伴執(zhí)行測試的書面許可。合作伙伴報告說他們被黑了，現(xiàn)在公司被卷入了訴訟！從現(xiàn)在開始我要確保我手里有書面許可，但是我要怎么做才能挽救我作為一名道德黑客的名譽呢？

　　答：沒有什么能比得上把自己卷入訴訟中。好像你和你的公司都得到了很有價值的教訓，知道在進行評估前首先要有合適的書面許可。你需要先做幾件事情：一是和公司的管理層和律師談談，看看他們需要從你這里去的什么文件。這可能包括的文檔有你被要求作什么事兒的，你做了什么測試，以及什么時候。要盡可能的合作，并快速建立一種觀念，是你是把公司利益放在第一位的員工。

　　下一步，為將來的滲透測試創(chuàng)建可以遵守的程序。這應該要求有管理層的一些文件要求以及各方面的同意這么做的許可類型的通知。在測試后，還應該包括測試進行的時間和內容的文檔。

　　如果你的公司可以很好地處理這種情況，管理層會在這個過程中支持你。如果清楚了公司知道需要有許可并選擇了忽略它，你還有一個選擇，很不幸，是你要辭職。有時，保護自己名譽的好方法是完全和公司分開，并找一家尊重道德的新公司。這是很激烈的措施，但是后對你有利。任何稱職的雇主都不會這么對待你。

　　保證企業(yè)網(wǎng)絡安全必需滲透測試嗎？

　　問：在企業(yè)網(wǎng)絡安全策略中，滲透測試的重要性有多大？

　　答：滲透測試可以提供安全防御的有價值的信息，但是成本很高。為了滲透測試的可信性，通常必須要有獨立的外部公司進行。如果使用內部人員和測試揭開漏洞，你可能會聽到這樣的批評，測試人員一定在攻擊中利用了他們的內部信息和架構的指示來擴大安全預算。另一方面，如果測試表明狀況良好，你可能會受到測試不夠徹底的批評。如果有的話，這一定是第二十二條軍規(guī)。

　　由于滲透測試的高成本，我通常推薦成熟的安全項目才能考慮使用。如果你正在構建安全架構，缺少幾個主要的部分，那么首先把預算花在這里吧。否則，滲透測試只能揭示已經(jīng)知道的漏洞。另一方面，如果采用了滲透測試來評估全面執(zhí)行的架構，你可能會獲得潛在漏洞有價值的信息。

　　威脅建模對企業(yè)有幫助嗎？

　　問：威脅建模是有用的防御機制嗎？真的可以和黑客一樣思考嗎？

　　答：目前，威脅建模對安全專家來說是一種難以置信的有用的工具。進行威脅建模的訓練，可以遵循一下的步驟。

　　首先，廣泛考慮企業(yè)中有價值的信息資產、重要的計算機資源以及他們的位置。

　　下一步，討論一下細節(jié)，誰可能攻擊你的企業(yè)，為什么。這些是威脅。網(wǎng)絡罪犯會攻擊你嗎？單一民族會嗎？內部威脅呢？不要忘了考慮安裝在環(huán)境內部的飄忽不定的蠕蟲。目前的威脅不是全部都是人為的。

　　第三，基于你的威脅清單，開始考慮他們如何攻擊你。簡單的方法是什么？取得詳細的信息，不要馬上列出你的同事也可以想到的各種怪異的想法。當威脅和漏洞重疊的時候，風險出現(xiàn)了。

　　后，考慮你已經(jīng)采取的應對這些風險的對策。你的防御可以阻止你闡明的情景中的攻擊嗎如果不能，你可以在低程度上快速刪除不當之處并立即作出回應嗎？

　　當然，你不能使用惡意人士和惡意軟件攻擊你的所有方法。攻擊者都是創(chuàng)造性的，并在不斷革新。還有一句老生常談：你不能總是和攻擊者想到的一樣，但是你可以有時和他們想的存在某些相同之處。因此，確保你少可以防御你的團隊考慮到的常見和破壞大的攻擊。不采用這些基本的威脅建模，你可能會受到可預測的、很明顯的攻擊，而這些攻擊原本應該可以防御的。

　　OWASP（Open Web Application Security Project）的團隊已經(jīng)總結了各種威脅建模方法大綱，這是從微軟自己的程序中獲得的靈感。這份摘要描述了確定去也大威脅和相關風險的不同方法。很多公司也正在開發(fā)自動威脅建模軟件，包括Skybox Security。