滲透測試旨在證明，網(wǎng)絡(luò )防御機制的運行與你認為的一樣良好。往往系統和網(wǎng)絡(luò )管理員視審查人員或滲透人員為敵人，但實(shí)際上他們卻是朋友。到位的滲透測試可以證明你的防御確實(shí)有效，或者查出問(wèn)題，幫助你阻擋未來(lái)攻擊。出錢(qián)請自己知道的人來(lái)發(fā)現網(wǎng)絡(luò )中的漏洞，總比讓自己不知道的人發(fā)現漏洞好得多。

滲透測試也許是你的網(wǎng)絡(luò )防御工具箱當中的重要武器之一。應該視之為各種安全審查的一部分，但要確保審查人員勝任這項工作。
專(zhuān)業(yè)服務(wù)
滲透測試有時(shí)是作為外部審查的一部分而進(jìn)行的。這種測試需要探查系統，以發(fā)現操作系統和任何網(wǎng)絡(luò )服務(wù)，并檢查這些網(wǎng)絡(luò )服務(wù)有無(wú)漏洞。你可以用漏洞掃描器完成這些任務(wù)，但往往專(zhuān)業(yè)人士用的是不同的工具，而且他們比較熟悉這類(lèi)替代性工具。
滲透測試的作用一方面在于，解釋所用工具在探查過(guò)程中所得到的結果。只要手頭有漏洞掃描器，誰(shuí)都可以利用這種工具探查防火墻或者是網(wǎng)絡(luò )的某些部分。但很少有人能全面地了解漏洞掃描器得到的結果，更別提另外進(jìn)行測試，并證實(shí)漏洞掃描器所得報告的準確性了。
打一個(gè)比方來(lái)解釋滲透測試的必要性。假設你要修建一座金庫，并且你按照建設規范將金庫建好了。此時(shí)是否就可以將金庫立即投入使用呢？肯定不是！因為還不清楚整個(gè)金庫系統的安全性如何，是否能夠確保存放在金庫的貴重東西萬(wàn)無(wú)一失。那么此時(shí)該如何做？可以請一些行業(yè)中安全方面的專(zhuān)家對這個(gè)金庫進(jìn)行全面檢測和評估，比如檢查金庫門(mén)是否容易被破壞，檢查金庫的報警系統是否在異常出現的時(shí)候及時(shí)報警，檢查所有的門(mén)、窗、通道等重點(diǎn)易突破的部位是否牢不可破，檢查金庫的管理安全制度、視頻安防監控系統、出入口控制等等。甚至會(huì )請專(zhuān)人模擬入侵金庫，驗證金庫的實(shí)際安全性，期望發(fā)現存在的問(wèn)題。 這個(gè)過(guò)程就好比是對金庫的滲透測試。這里金庫就像是我們的信息系統，各種測試、檢查、模擬入侵就是滲透測試。
滲透測試，是為了證明網(wǎng)絡(luò )防御按照預期計劃正常運行而提供的一種機制。不妨假設，你的公司定期更新安全策略和程序，時(shí)時(shí)給系統打補丁，并采用了漏洞掃描器等工具，以確保所有補丁都已打上。如果你早已做到了這些，為什么還要請外方進(jìn)行審查或滲透測試呢？因為，滲透測試能夠獨立地檢查你的網(wǎng)絡(luò )策略，換句話(huà)說(shuō)，就是給你的系統安了一雙眼睛。而且，進(jìn)行這類(lèi)測試的，都是尋找網(wǎng)絡(luò )系統安全漏洞的專(zhuān)業(yè)人士。
滲透測試 (penetration test)并沒(méi)有一個(gè)標準的定義，國外一些安全組織達成共識的通用說(shuō)法是：滲透測試是通過(guò)模擬惡意**的攻擊方法，來(lái)評估計算機網(wǎng)絡(luò )系統安全的一種評估方法。這個(gè)過(guò)程包括對系統的任何弱點(diǎn)、技術(shù)缺陷或漏洞的主動(dòng)分析，這個(gè)分析是從一個(gè)攻擊者可能存在的位置來(lái)進(jìn)行的，并且從這個(gè)位置有條件主動(dòng)利用安全漏洞。
換句話(huà)來(lái)說(shuō)，滲透測試是指滲透人員在不同的位置（比如從內網(wǎng)、從外網(wǎng)等位置）利用各種手段對某個(gè)特定網(wǎng)絡(luò )進(jìn)行測試，以期發(fā)現和挖掘系統中存在的漏洞，然后輸出滲透測試報告，并提交給網(wǎng)絡(luò )所有者。網(wǎng)絡(luò )所有者根據滲透人員提供的滲透測試報告，可以清晰知曉系統中存在的安全隱患和問(wèn)題。
我們認為滲透測試還具有的兩個(gè)顯著(zhù)特點(diǎn)是：滲透測試是一個(gè)漸進(jìn)的并且逐步深入的過(guò)程。滲透測試是選擇不影響業(yè)務(wù)系統正常運行的攻擊方法進(jìn)行的測試。
作為網(wǎng)絡(luò )安全防范的一種新技術(shù)，對于網(wǎng)絡(luò )安全組織具有實(shí)際應用價(jià)值。但要找到一家合適的公司實(shí)施滲透測試并不容易。

為了從滲透測試上獲得*大價(jià)值，應該向測試組織提供盡可能詳細的信息。這些組織同時(shí)會(huì )簽署保密協(xié)議，這樣，你就可以更放心地共享策略、程序及有關(guān)網(wǎng)絡(luò )的其它關(guān)鍵信息。



http://www.mmsped.com