xxx公司滲透測試方案-wenkub
2023-05-18 00:59:20 本頁面
【正文】 試實施之前，某某會做到讓XXX對滲透測試過程和風(fēng)險的知曉，使隨后的正式測試流程都在XXX的控制下。 二. 遠(yuǎn)程滲透測試介紹 滲透測試原理滲透測試過程主要依據(jù)某某安全專家已經(jīng)掌握的安全漏洞信息，模擬黑客的真實攻擊方法對系統(tǒng)和網(wǎng)絡(luò)進(jìn)行非破壞性質(zhì)的攻擊性測試。所以本次項目的目的是通過遠(yuǎn)程滲透測試全面檢測XXX信息系統(tǒng)目前存在安全隱患，為下一步信息安全建設(shè)提供依據(jù)。 實施目的信息安全越來越成為保障企業(yè)網(wǎng)絡(luò)的穩(wěn)定運(yùn)行的重要元素。但近年來針對XXX信息系統(tǒng)的安全事件時有發(fā)生，網(wǎng)絡(luò)面臨的安全威脅日益嚴(yán)重。XXX滲透測試方案■ 文檔編號■ 密級■ 版本編號■ 日期！ ■ 版本變更記錄時間版本說明修改人■ 適用性聲明本文檔是（以下簡稱“某某”）為XXX（以下簡稱“XXX”）提交的滲透測試方案，供XXX的項目相關(guān)人員閱讀。隨著業(yè)務(wù)需求不斷地增加、網(wǎng)絡(luò)結(jié)構(gòu)日趨復(fù)雜，信息系統(tǒng)面臨的安全威脅、威脅的主體及其動機(jī)和能力、威脅的客體等方面都變得更加復(fù)雜和難于控制。XXX信息系統(tǒng)經(jīng)過多年的實踐和摸索，已經(jīng)初具規(guī)模，在技術(shù)上、產(chǎn)品方面取得了很大的成就，但隨著企業(yè)面臨的安全威脅不斷變化，單純地靠產(chǎn)品來解決各類信息安全問題已經(jīng)不能滿足XXX的實際安全需求。我們相信，憑借某某多年的安全技術(shù)積累和豐富的安全服務(wù)項目經(jīng)驗，能夠圓滿的完成本次安全服務(wù)項目。這里，所有的滲透測試行為將在客戶的書面明確授權(quán)和監(jiān)督下進(jìn)行。信息收集這包括：操作系統(tǒng)類型指紋收集；網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)分析；端口掃描和目標(biāo)系統(tǒng)提供的服務(wù)識別等。在獲取到普通權(quán)限后，嘗試由普通權(quán)限提升為管理員權(quán)限，獲得對系統(tǒng)的完全控制權(quán)。報告輸出滲透測試人員根據(jù)測試的過程結(jié)果編寫直觀的滲透測試服務(wù)報告。下圖是更為詳細(xì)的步驟拆分示意圖：某某滲透測試流程圖 滲透測試的風(fēng)險規(guī)避在滲透測試過程中，雖然我們會盡量避免做影響正常業(yè)務(wù)運(yùn)行的操作，也會實施風(fēng)險規(guī)避的計策，但是由于測試過程變化多端，滲透測試服務(wù)仍然有可能對網(wǎng)絡(luò)、系統(tǒng)運(yùn)行造成一定不同程度的影響，嚴(yán)重的后果是可能造成服務(wù)停止，甚至是宕機(jī)。非常重要的系統(tǒng)不建議做深入的測試，避免意外崩潰而造成不可挽回的損失；具體測試過程中，最終結(jié)果可以由測試人員做推測，而不實施危險的操作步驟加以驗證等。應(yīng)急策略：測試過程中，如果目標(biāo)系統(tǒng)出現(xiàn)無響應(yīng)、中斷或者崩潰等情況，我們會立即中止?jié)B透測試，并配合XXX技術(shù)人員進(jìn)行修復(fù)處理等。通過我們的滲透測試，可以獲得如下增益：n 安全缺陷：從黑客的角度發(fā)現(xiàn)XXX安全體系中的漏洞（隱含缺陷），協(xié)助XXX明確目前降低風(fēng)險的措施，為下一步的安全策略調(diào)整指明了方向。這些工具經(jīng)過全球數(shù)以萬計的程序員、網(wǎng)絡(luò)管理員、安全專家以及黑客的測試和實際應(yīng)用，在技術(shù)上已經(jīng)非常成熟，實現(xiàn)了網(wǎng)絡(luò)檢查和安全測試的高度可控性，能夠根據(jù)使用者的實際要求進(jìn)行有針對性的測試。某某滲透測試工程師將可能利用到但是不限于利用以下工具。nc無端口連接工具無無遠(yuǎn)程溢出工具中通過漏洞遠(yuǎn)程進(jìn)入系統(tǒng)溢出程序可能造成服務(wù)不穩(wěn)定備份數(shù)據(jù)，服務(wù)異常時重啟服務(wù)。1工作日信息收集利用公開域查詢、掃描、嗅探以及社會工程學(xué)等手段收集XXX信息系統(tǒng)大量信息，從中提取有用信息。1工作日驗收階段項目驗收報告會 方案制定某某遠(yuǎn)程滲透測試小組根據(jù)XXX信息系統(tǒng)的規(guī)模和實際業(yè)務(wù)情況制定詳細(xì)的滲透測試方案，包括測試方法的選擇、測試工具的準(zhǔn)備已經(jīng)分析測試過程中可能帶來的風(fēng)險分析和相應(yīng)的風(fēng)險規(guī)避方法。在第一階段，某某測試人員根據(jù)前期收集的信息對XXX直接暴露在互聯(lián)網(wǎng)系統(tǒng)進(jìn)行測試，利用目前前沿的入侵技術(shù)控制部分目標(biāo)系統(tǒng)。此過程共需1個人日。此過程共需1個人日。滲透測試團(tuán)隊會根據(jù)項目的規(guī)模有選擇性的申請部分漏洞研發(fā)團(tuán)隊專家參與到項目中，共同組成臨時的滲透測試小組，面向用戶提供深層次、多角度、全方位的滲透測試。l 規(guī)范化的滲透測試流程某某滲透測試流程分為準(zhǔn)備、滲透以及加
公司管理相關(guān)推薦
鄂ICP備17016276號-1