信息系統(tǒng)滲透測試方案-預(yù)覽頁
【正文】 息安全認(rèn)知程度，甚至提高組織在安全方面的預(yù)算；3) 信息安全是一個(gè)整體工程，滲透測試有助于組織中的所有成員意識到自己崗位同樣可能提高或降低風(fēng)險(xiǎn)，有助于內(nèi)部安全的提升；當(dāng)然，滲透測試并不能保證發(fā)現(xiàn)目標(biāo)網(wǎng)絡(luò)中所有的弱點(diǎn)，因此我們不宜片面強(qiáng)調(diào)它的重要性。滲透測試是一種專業(yè)的安全服務(wù)，類似于軍隊(duì)里的“實(shí)戰(zhàn)演習(xí)”或者“沙盤推演”，通過實(shí)戰(zhàn)和推演，讓用戶清晰了解目前網(wǎng)絡(luò)的脆弱性、可能造成的影響，以便采取必要的防范措施。口令猜解技術(shù)口令是信息安全里永恒的主題，通過弱口令獲取權(quán)限者不在少數(shù)。. 其它手法這里列出的方法，有些可能對用戶的網(wǎng)絡(luò)造成較大的影響（如服務(wù)中斷），有的則與安全管理密切相關(guān)，有的則需要到現(xiàn)場才能進(jìn)行作業(yè)，因此通常情況下較少采用。. 白盒測試白盒測試與黑箱測試恰恰相反，測試者可以通過正常的渠道向被單位取得各種資料，包括網(wǎng)絡(luò)拓?fù)洹T工資料甚至網(wǎng)站或其它程序的代碼片斷，也能夠與單位的其它員工（銷售、程序員、管理者……）進(jìn)行面對面的交流。內(nèi)網(wǎng)測試指的是滲透測試人員由內(nèi)部網(wǎng)絡(luò)發(fā)起測試，這類測試能夠模擬企業(yè)內(nèi)部違規(guī)操作者的行為。滲透測試首先必須將實(shí)施方法、實(shí)施時(shí)間、實(shí)施人員、實(shí)施工具等具體的實(shí)施方案提交給客戶，并得到客戶的相應(yīng)書面委托和授權(quán)。信息收集常用的工具包括商業(yè)網(wǎng)絡(luò)安全漏洞掃描軟件（例如：極光），免費(fèi)安全檢測工具（例如：NMAP、NESSUS），操作系統(tǒng)內(nèi)置的許多功能（例如：TELNET、NSLOOKUP、IE等）也可能作為信息收集的有效工具。接下來盡最大努力取得超級用戶權(quán)限、收集目標(biāo)主機(jī)資料信息，尋求本地權(quán)限提升的機(jī)會。. 風(fēng)險(xiǎn)規(guī)避措施. 滲透測試時(shí)間與策略為減輕滲透測試對網(wǎng)絡(luò)和主機(jī)的影響，滲透測試時(shí)間盡量安排在業(yè)務(wù)量不大的時(shí)段或晚上。. 系統(tǒng)備份和恢復(fù)為防止在滲透測試過程中出現(xiàn)的異常發(fā)問，所有被評估系統(tǒng)均應(yīng)在被評估之前作一次完整的系統(tǒng)備份或者關(guān)閉正在進(jìn)行的操作，以便系統(tǒng)發(fā)生災(zāi)難后及時(shí)恢復(fù)。由測試者對本次測試過程中的三方面數(shù)據(jù)進(jìn)行完整記錄：l 操作；l 響應(yīng)；l 分析。缺點(diǎn)是數(shù)據(jù)量太大，不易分析；需要大容量存儲設(shè)備。4. 滲透測試實(shí)施及報(bào)表輸出. 實(shí)際操作過程. 預(yù)攻擊階段的發(fā)現(xiàn)l 目標(biāo)主機(jī)系統(tǒng)情況探測1) 操作系統(tǒng)類型探明：使用windows 2000操作系統(tǒng)，2) 開放端口3) 可利用服務(wù)情況：WEB服務(wù)(80)，數(shù)據(jù)庫服務(wù)(SQL server 2000). 攻擊階段的操作l 尋找腳本漏洞存在可以被利用的安全漏洞。1
法律信息相關(guān)推薦
鄂ICP備17016276號-1