滲透測試 - 方法

滲透測試是一種結合多種技術的綜合方法，它考慮系統的各種問題，並進行測試、分析和提供解決方案。它基於一個結構化的程式，逐步執行滲透測試。

本章描述滲透測試方法的各個步驟或階段。

滲透測試方法的步驟

滲透測試的七個步驟如下：

計劃和準備始於定義滲透測試的目標和目的。

客戶和測試人員共同定義目標，以便雙方具有相同的目標和理解。滲透測試的常見目標包括：

偵察包括對初步資訊的分析。很多時候，測試人員除了初步資訊（例如IP地址或IP地址塊）之外沒有更多資訊。測試人員從分析可用資訊開始，如果需要，則向客戶索取更多資訊，例如系統描述、網路計劃等。這一步是一種被動滲透測試。其唯一目標是獲取系統完整而詳細的資訊。

在此步驟中，滲透測試人員很可能會使用自動化工具掃描目標資產以發現漏洞。這些工具通常擁有自己的資料庫，其中包含最新漏洞的詳細資訊。但是，測試人員會發現

在此步驟中，測試人員會在測試步驟動態滲透系統之前分析和評估收集到的資訊。由於系統數量龐大且基礎設施規模巨大，這非常耗時。在分析過程中，測試人員會考慮以下因素：

但是，從已識別的系統列表中，測試人員可以選擇僅測試包含潛在漏洞的系統。

這是必須謹慎執行的最重要步驟。此步驟涉及在發現步驟中識別的潛在漏洞對實際風險的影響程度。當需要驗證潛在漏洞時，必須執行此步驟。對於那些具有非常高完整性要求的系統，在進行關鍵清理程式之前，需要仔細考慮潛在漏洞和風險。

此步驟主要考慮直到那時為止進行的所有步驟（如上所述），並對以潛在風險形式存在的漏洞進行評估。此外，測試人員建議消除漏洞和風險。最重要的是，測試人員必須確保測試及其披露的漏洞的透明度。

報告準備必須從整體測試程式開始，然後是對漏洞和風險的分析。高風險和嚴重漏洞必須優先處理，然後是較低級別的漏洞。

但是，在編寫最終報告時，需要考慮以下幾點：

列印頁面