安全自查之滲透測試和漏洞掃描
01 滲透測試和漏洞掃描的目的
在單位機(jī)構(gòu)信息系統(tǒng)運(yùn)營時,資產(chǎn)、安全漏洞、網(wǎng)絡(luò)都是動態(tài)變化的,定期的滲透測試和漏洞掃描可以及時準(zhǔn)確的知道企業(yè)自身信息化資產(chǎn)的脆弱性,了解網(wǎng)絡(luò)的安全設(shè)置和運(yùn)行的服務(wù),及時發(fā)現(xiàn)安全漏洞,為客觀評價網(wǎng)絡(luò)風(fēng)險等級提供依據(jù)。滲透測試和漏洞掃描是一種主動的防御措施,能有效避免黑客攻擊行為,做到防患于未然。
那么滲透測試和漏洞掃描工作應(yīng)該怎樣開展呢?是不是隨便找個掃描工具掃描一下就可以?答案是不可以。因?yàn)椴粔驅(qū)I(yè)的漏洞掃描很難取得好的效果。下面就來介紹如何做好滲透測試和漏洞掃描工作。
02 掃描前的準(zhǔn)備
客觀風(fēng)險的提示與告知,溝通確認(rèn)掃描方式
根據(jù)資產(chǎn)列表中主機(jī)、設(shè)備、應(yīng)用系統(tǒng)等基礎(chǔ)信息,聯(lián)系相應(yīng)歸口人員,告知滲透測試和漏洞掃描原理和風(fēng)險,對相應(yīng)的風(fēng)險做好規(guī)避或降低危害的措施,最終確認(rèn)掃描方式,漏洞掃描主要風(fēng)險.
規(guī)避的措施主要有:安全備份、分批掃描、掃描策略修改、閑時測試和掃描、測試環(huán)境滲透等。
最終結(jié)合應(yīng)用系統(tǒng)的重要性、網(wǎng)絡(luò)情況、操作系統(tǒng)類型等確認(rèn)是按照系統(tǒng)掃描漏洞、按照網(wǎng)段探測存活掃描、全端口掃描的方式等掃描方式。滲透測試一般采用工具+人工測試,可以分為白盒測試、黑盒測試。
確認(rèn)目標(biāo)與范圍
掃描工具、環(huán)境準(zhǔn)備
1) 確定漏洞掃描工具
2) 漏洞庫升級到最新且使用授權(quán)未到期。
3) 確定網(wǎng)絡(luò)接入的方式和位置,并提供漏掃設(shè)備所使用的IP地址、網(wǎng)關(guān)等信息(如果在網(wǎng)絡(luò)建設(shè)時,已考慮漏洞掃描設(shè)備可達(dá)所有網(wǎng)絡(luò),可不考慮此點(diǎn))。
4) 確定掃描時間、地點(diǎn)和配合人員。
03 滲透測試和漏掃實(shí)施
在做好前期準(zhǔn)備后,就可以進(jìn)行滲透測試和漏洞掃描實(shí)施了,在滲透測試和漏洞掃描實(shí)施過程中,主要注意如下幾點(diǎn):
1)滲透測試和漏洞掃描策略再次確認(rèn);
2)滲透測試和漏洞掃描期間,配合人員和實(shí)施人員應(yīng)全程觀察業(yè)務(wù)系統(tǒng)運(yùn)行狀態(tài);
3)漏掃任務(wù)開始前,可掃描通過1-2個地址進(jìn)行測試,觀察網(wǎng)絡(luò)承載、網(wǎng)路暢通等;
4)根據(jù)漏洞掃描設(shè)備性能分配掃描任務(wù)IP數(shù)量,防止設(shè)備卡死、掃描中斷等情況;
5)建議漏洞掃描資產(chǎn)以業(yè)務(wù)系統(tǒng)為單位,個人主機(jī)以部門為單位,方便歷史數(shù)據(jù)統(tǒng)計分析;
6)滲透測試時業(yè)務(wù)人員可以為測試人員提供應(yīng)用系統(tǒng)主要功能實(shí)現(xiàn)原理,以便測試人員可以快速定位漏洞,節(jié)省測試時間。
04 結(jié)果分析
滲透測試需要滲透測試人員撰寫漏洞挖掘詳細(xì)過程,并提供截圖或訪問的數(shù)據(jù)包,提供相應(yīng)漏洞的修復(fù)意見,以便研發(fā)人員進(jìn)行漏洞修復(fù)。而現(xiàn)在主流的漏洞掃描設(shè)備一般均提供了漏洞掃描報告輸出,報告中有詳細(xì)的目標(biāo)主機(jī)的基本信息(開放端口,系統(tǒng)類型等)和漏洞信息(漏洞編號、漏洞描述、加固方法等),并提供本次任務(wù)的統(tǒng)計信息。但這些結(jié)果還不足達(dá)到我們滲透測試和漏洞掃描的目的,我們還應(yīng)該關(guān)注以下這些事情:
1)對比漏掃目標(biāo)存活數(shù)量
漏洞掃描完成后需要和資產(chǎn)列表對比發(fā)現(xiàn)是否存在遺漏,遺漏資產(chǎn)需要重新掃描。
2)高風(fēng)險目標(biāo)主機(jī)
根據(jù)滲透測試報告和漏掃結(jié)果分析漏洞分布情況,確認(rèn)哪些信息資產(chǎn)的漏洞數(shù)量較多,風(fēng)險等級較高。確認(rèn)為什么出現(xiàn)該情況,是無人維護(hù)?因?yàn)橛绊懴到y(tǒng)運(yùn)行未打補(bǔ)???已下線資產(chǎn)?對以上情況應(yīng)通過溝通協(xié)商,確定漏洞修復(fù)加固方案。
3)歷史掃描結(jié)果對比
通過對比多次滲透測試和掃描結(jié)果能夠更清楚單位機(jī)構(gòu)內(nèi)部信息資產(chǎn)長期的安全狀態(tài),對于長期處于高風(fēng)險的信息資產(chǎn),不應(yīng)因影響業(yè)務(wù)運(yùn)行就放棄整改加固,需要結(jié)合漏洞影響的范圍,評估和優(yōu)化整改方案,使危害影響降到最低。
4)漏洞閉環(huán)
安全漏洞處理過程應(yīng)該是閉環(huán)過程,需要相應(yīng)系統(tǒng)歸口人員對其持續(xù)關(guān)注,直至漏洞關(guān)閉。
溫馨提示
滲透測試和漏洞掃描是一項(xiàng)專業(yè)性比較強(qiáng)的工作,非專業(yè)人員進(jìn)行滲透測試和漏洞掃描可能給業(yè)務(wù)系統(tǒng)的運(yùn)行帶來一定的風(fēng)險。如果您需要幫助,可以聯(lián)系我們,我們會根據(jù)您的需要,為您提供專業(yè)的咨詢和服務(wù)。