文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

网络安全测试的七种主要类型

2024-11-30 11:50

关注

01、网络渗透测试

如果攻击者能够成功闯入公司的网络,其引发的风险将会非常高。网络渗透测试主要指测试人员尝试绕过防火墙、测试路由器、规避入侵检测和防御系统(IPS/IDS)、扫描端口和代理服务,并寻找所有类型的网络漏洞。在实际应用中,网络渗透测试工作主要包括外部网络渗透测试与内部网络渗透测试。

在外部网络渗透测试中,面向互联网的资产是模拟攻击的主要目标。通常,目标资产会由客户提供,但也可以在客户确认的情况下执行“无范围”(no-scope)测试。测试人员将尝试在扫描期间发现的任何可利用漏洞。此外,允许登录的暴露服务将受到密码猜测攻击的影响,例如暴力破解或密码喷射。对外开放的企业网站通常会接受额外的审查,以寻找攻击者容易利用的常见Web漏洞。

内部网络渗透测试则是从已获得组织内部网络访问权限的角度进行,可以在测试人员和客户员工之间提供有益的互动,测试人员可以使用客户提供的基础设施,或是他们自己的物理或虚拟远程测试系统来进行远程访问。

02、社会工程渗透测试

社会工程是网络犯罪分子用来欺骗用户泄露凭据或敏感信息的一种技术。如今,大多数网络安全攻击会从社会工程、网络钓鱼或短信网络钓鱼开始。攻击者通常会联系员工,通过电子邮件、电话、社交媒体及其他方式瞄准那些拥有管理员或高级访问权限的人。通过社会工程渗透测试可以帮助安全团队预先了解组织的人员安全意识状态,并在社会工程攻击期间和之后测试组织安全团队的反应和支持能力。

社会工程测试主要包括:

03、Web应用渗透测试

基于Web的应用程序对于几乎每家组织的运营都至关重要。Web应用程序渗透测试侧重于通过Web应用程序呈现给攻击者的攻击面。这些测试类型旨在评估Web应用程序的安全性,并寻找攻击性方法来访问敏感数据,或获得对Web应用程序的控制权限。在此评估期间,组织通常会向测试人员提供凭据访问权限,以审查整个应用程序。

Web应用程序测试的对象包括Web应用程序、浏览器、ActiveX、插件、Silverlight、小脚本和小应用程序,测试中所用的语言包括Java、PHP、和.NET等。应用编程接口(API)与XML、MySQL、Oracle及其连接和系统一样也是测试的一部分。如果Web应用程序是移动的,它们还需要在其环境中进行测试。由于端点在运行时和Web应用程序在线时具有交互性,针对Web应用的渗透测试会很复杂,渗透测试人员必须兼顾所有方面。

04、无线网络渗透测试

现代企业会高度依赖无线网络来连接端点和物联网设备等,无线网络已成为网络犯罪分子的热门目标,但其应用安全性却常被企业所忽视。覆盖无线安全的渗透测试必须面面俱到,无线网络测试人员需要寻找无线加密中已知的缺陷,试图破解密钥,诱使用户向“双面恶魔”(evil twin)接入点或被攻击者控制的文件夹提供凭据,并暴力破解登录详细信息。恶意接入点扫描可以通过物理位置和经过身份验证的无线分段测试完成这些评估类型,以确定攻击者在成功连接到环境后可以访问的内容。

随着企业开始走上数字化转型和现代化之路,物联网、传感器、摄像头、移动设备及和其他端点面临的威胁也在加大。黑客会试图通过这些新的入口点访问关键资产,数字攻击面扩大无疑对他们有利。因此,渗透测试人员需要全面验证无线加密协议、检查信标、确认流量以及搜索接入点、热点和MAC地址欺骗。

05、物理安全渗透测试

并非公司面临的所有威胁都是由外部网络应用所引起,特别是在边缘计算兴起后,很多企业会在接近业务运营的地方建立数据分中心,面向这些中心的物理环境安全测试已变得更加重要。

在物理环境安全测试中,测试人员将会模拟验证大门的安全系统、门禁卡、门锁、摄像头和传感器,并尝试冒充工作人员。他们还会验证当攻击者可以物理访问计算设备、数据中心网络和边缘计算网络时,企业数字化应用系统的安全系数会如何变化。这类测试通常会在安全团队大多数成员完全不知情的情况下执行。

06、云计算渗透测试

私有云和公共云的广泛应用为现代企业组织带来了诸多好处,但也给网络犯罪分子带来了机会。许多组织在云端都存放了大量关键业务数据资产,如果这些资产遭到破坏,会导致业务运营的瘫痪。

虽然云供应商会为企业提供功能强大的配套安全服务,但云渗透测试对企业组织已必不可少。云端渗透测试需要提前通知云提供商,因为系统的某些区域可能禁止白帽黑客访问。

云端的渗透测试必须遵守云服务商给出的统一渗透测试演练规则。而在开始进行测试前,组织也需要详细填写云计算安全渗透测试申请表。云渗透测试的内容主要包括检查云环境的安全性、应用程序及API、访问、存储、加密、虚拟机、操作系统及更新、安全外壳(SSH)、远程桌面协议(RDP)远程管理以及错误配置和密码。

07、红蓝对抗测试

受军事演习活动的启发,在网络安全领域也开始流行基于实战背景的攻防对抗测试演练活动,会组织专业的测试红队充当攻击者,而蓝队主要由企业现有的安全团队组成。这种整体式对抗性测试方法能够确保渗透测试的真实性和有效性,不仅可以评估安全缺陷、漏洞和威胁,还可以评估安全团队的反应能力。

通过聘请行业专家充当蓝队,企业组织不仅可以发现目前的安全防护薄弱环节,还可以趁此机会提升员工的专业安全技能。安全团队可以学习如何更快速地了解和响应攻击。红蓝对抗测试有多种形式。有时蓝队被告知模拟或渗透测试的时间,有时则完全不知情。红队渗透测试人员可以深入了解内部安全团队在如何响应,并提供优化的建议。

参考链接:https://www.esecurityplanet.com/networks/types-of-penetration-testing/

来源:安全牛内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯