滲透測(cè)試方案-全文預(yù)覽
【正文】 ? 溝通策略：測(cè)試過程中，確定測(cè)試人員和業(yè)主單位方配合人員的聯(lián)系方式，便于及時(shí)溝通并解決工程中的難點(diǎn)。? 測(cè)試報(bào)告：能幫助業(yè)主單位以實(shí)際案例的形式來說明目前安全現(xiàn)狀，從而增加業(yè)主單位 對(duì)信息安全的認(rèn)知度，提升業(yè)主單位人員的風(fēng)險(xiǎn)危機(jī)意識(shí)，從而實(shí)現(xiàn)內(nèi)部安全等級(jí)的整體提升。 但是安全工具本身也是一把雙刃劍，為了做到萬無一失， 我們也將針對(duì)系統(tǒng)可能出現(xiàn)的不穩(wěn)定現(xiàn)象提出相應(yīng)對(duì)策，以確保服務(wù)器和網(wǎng)絡(luò)設(shè)備在進(jìn)行滲透測(cè)試的過程中保持在可信狀態(tài)。除了技術(shù)層面以外，某某也將會(huì)根據(jù)用戶滲透測(cè)試的目標(biāo)以及提出的需求著重對(duì)于用戶的業(yè)務(wù)層面進(jìn)行分析， 并且將分析結(jié)果應(yīng)用于滲透測(cè)試當(dāng)中，做到明確所有需求的基礎(chǔ)上準(zhǔn)確而深入的貫徹用戶的意圖，將滲透測(cè)試的目標(biāo)與業(yè)務(wù)系統(tǒng)連續(xù)性運(yùn)行保障緊密的結(jié)合起來。滲透測(cè)試內(nèi)容基本圍繞技術(shù)層面（系統(tǒng)層、應(yīng)用層、網(wǎng)絡(luò)層）進(jìn)行開展，成都國(guó)信安信息產(chǎn)業(yè)基地有限公司第 15 頁(yè) 共 16 頁(yè)并且針對(duì)不同層面的安全漏洞及威脅某某提供了一系列滲透測(cè)試方法及流程。成都國(guó)信安信息產(chǎn)業(yè)基地有限公司第 16 頁(yè) 共 16 頁(yè)提供系統(tǒng)性能優(yōu)化改進(jìn)方案。并且針對(duì)過程中遇到的問題向用戶進(jìn)行匯報(bào)。滲透測(cè)試服務(wù)開展相對(duì)較早，經(jīng)驗(yàn)非常豐富，曾經(jīng)參與過很多大型網(wǎng)站的滲透測(cè)試工作。滲透測(cè)試人員模擬黑客入侵攻擊的過程中使用的是操作系統(tǒng)自帶網(wǎng)絡(luò)應(yīng)用、 管理和診斷工具、黑客可以在網(wǎng)絡(luò)上免費(fèi)下載的掃描器、遠(yuǎn)程入侵代碼和本地成都國(guó)信安信息產(chǎn)業(yè)基地有限公司第 13 頁(yè) 共 16 頁(yè)提升權(quán)限代碼以及某某自主開發(fā)的安全掃描工具。通過我們的滲透測(cè)試，可以獲得如下增益。? 應(yīng)急策略：測(cè)試過程中，如果目標(biāo)系統(tǒng)出現(xiàn)無響應(yīng)、中斷或者崩潰等情況，我們會(huì)立即中止?jié)B透測(cè)試，并配合業(yè)主單位技術(shù)人員進(jìn)行修復(fù)處理等。非常重要的系統(tǒng)不建議做深入的測(cè)試，避免意外崩潰而造成不可挽回的損失；具體測(cè)試過程中，最終結(jié)果可以由測(cè)試人員做推測(cè)，而不實(shí)施危險(xiǎn)的操作步驟加以驗(yàn)證等。比如滲透人員實(shí)施系統(tǒng)權(quán)限提升操作時(shí)，突遇系統(tǒng)停電，再次重啟時(shí)可能會(huì)出現(xiàn)系統(tǒng)無法啟動(dòng)的故障等。? 報(bào)告輸出：滲透測(cè)試人員根據(jù)測(cè)試的過程結(jié)果編寫直觀的滲透測(cè)試服務(wù)報(bào)告。 在獲取到普通權(quán)限后， 嘗試由普通權(quán)限提升為管理員權(quán)限， 獲得對(duì)系統(tǒng)的完全控制權(quán)。 在測(cè)試實(shí)施之前，會(huì)做到讓業(yè)主單位對(duì)滲透測(cè)試過程和風(fēng)險(xiǎn)的知曉， 使隨后的正式測(cè)試流程都在業(yè)主單位的控制下。成都國(guó)信安信息產(chǎn)業(yè)基地有限公司第 4 頁(yè) 共 16 頁(yè). 人員分配本次測(cè)試組織機(jī)構(gòu)和人員分配如下：項(xiàng)目管理組：楊方秀現(xiàn)場(chǎng)測(cè)試組：屈緋穎、王洪斌、項(xiàng)目文檔組：龔正質(zhì)量控制組：楊方秀、屈緋穎. 測(cè)試設(shè)備序號(hào) 設(shè)備或儀器名稱 功能描述 數(shù)量 產(chǎn)地 備注1. TestManager 測(cè)試管理 1 IBM2. ClearQuest 缺陷跟蹤 1 IBM3. xscan用于安全測(cè)試的漏洞掃描工具14. 測(cè)試機(jī) 測(cè)試機(jī) 2 國(guó)產(chǎn)成都國(guó)信安信息產(chǎn)業(yè)基地有限公司第 5 頁(yè) 共 16 頁(yè)檢測(cè)分類 檢測(cè)范圍SQL 注入XSS 跨站腳本網(wǎng)頁(yè)掛馬緩沖區(qū)溢出文件上傳漏洞源代碼泄露目錄瀏覽、遍歷漏洞數(shù)據(jù)庫(kù)泄露弱口令越權(quán)訪問會(huì)話驗(yàn)證繞過管理地址泄露輿論信息檢測(cè)中間件漏洞支付安全驗(yàn)證Web 網(wǎng)站其他（如：寫入控制,防止批量添加數(shù)據(jù),是否使用驗(yàn)證碼等）SOA 服務(wù)端 SQL 注入成都國(guó)信安信息產(chǎn)業(yè)基地有限公司第 6 頁(yè) 共 16 頁(yè)緩沖區(qū)溢出文件上傳漏洞目錄瀏覽、遍歷漏洞弱口令越權(quán)訪問會(huì)話驗(yàn)證繞過中間件漏洞其他（如：寫入控制,防止批量添加數(shù)據(jù),是否使用驗(yàn)證碼等）組件安全檢測(cè)代碼安全檢測(cè)內(nèi)存安全檢測(cè)數(shù)據(jù)安全檢測(cè)業(yè)務(wù)安全檢測(cè)APP 源生客戶端應(yīng)用管理檢測(cè)身份鑒別自主訪問控制強(qiáng)制訪問控制可信路徑安全審計(jì)剩余信息保護(hù)服務(wù)器入侵防范成都國(guó)信安信息產(chǎn)業(yè)基地有限公司第 7 頁(yè) 共 16 頁(yè)惡意代碼防范資源控制數(shù)據(jù)庫(kù)數(shù)據(jù)安全成都國(guó)信安信息產(chǎn)業(yè)基地有限公司第 8 頁(yè) 共 16 頁(yè)檢測(cè)項(xiàng)目 檢測(cè)子類 類型 掃描測(cè)試 滲透測(cè)試前端 SSO 單點(diǎn)登錄網(wǎng)站 WEB √ √后端
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1