渗透测试和漏洞评估的真相
作者:星期一, 七月 18, 20160

人们常会把漏洞评估和渗透测试搞混。事实上,这俩术语确实往往交替使用,但,它俩之间其实是天壤之别。为强化公司的网络风险态势,不单单需要测试漏洞,还需要评估漏洞是否可被切实利用,以及它们代表着什么风险。而增强公司对网络攻击的弹性,则需要理解漏洞评估、渗透测试和网络风险分析之间的内部联系。

640-12

漏洞评估已成为当今动态威胁态势下的主流安全实践。利用漏洞扫描器,无论是针对网络的、应用的还是数据库的,对很多大型终端用户公司而言早已是标准规程。漏洞评估的目标,是识别和量化环境中的安全漏洞。现有软件扫描器可用来评估公司企业的安全态势,识别已知安全空白,提出恰当的风险缓解动作建议——要么清除之,要么至少将之降至可接受的风险水平。

漏洞评估过程通常会索引企业所有的资产,基于商业价值和潜在影响为资产分类,然后识别与每一种资产相关联的已知漏洞。最后一步,涉及到针对具最高潜在商业影响的资产进行关键漏洞缓解操作。发现的问题越多越好。

然而,“真正”的漏洞管理过程中,关注由漏洞扫描器发现的已知漏洞,还只是万里长征的第一步。若不将漏洞放到利用环境下考虑,修复资源通常会摆错地方。为更好地优先处理缓解动作,最好先确定特定漏洞到底是可利用还是不可利用。缺了这一步,不仅仅会造成金钱上的浪费,更重要的是,会给黑客留下更长的窗口时间和机会来利用高危漏洞。最后,我们的目标是,缩短攻击者利用软件缺陷的窗口时间。

最好记得:漏洞扫描器是基于已知漏洞列表提交结果的,意味着这些漏洞早已被安全专业人士、网络攻击者和厂商社区熟知。不幸的是,世界上不仅仅有已知漏洞,野生的未知漏洞也很多,而扫描器并不能发现它们。

除了将企业的内部安全情报放到外部威胁数据环境中考量,越来越多的企业还在进行渗透测试以确定漏洞的可利用性。渗透测试是由道德黑客执行,模拟恶意外部/内部网络攻击者的行为。渗透测试的目标,是暴露出安全空白,然后分析这些空白的风险性,确定一旦此漏洞被利用将会有何种类型的信息被泄露。渗透测试结果通常包含漏洞的严重性、可利用性和相关缓解操作。道德黑客通常使用自动化工具,比如Metasploit等,还有一些甚至会写他们自己的漏洞利用工具包。

为拼出漏洞谜题,公司企业需要进行全面的风险分析,将所有影响因素都纳入考虑范围,比如资产关键性、漏洞、外部威胁、可达性、可利用性和商业影响等。

最后,漏洞评估、渗透测试和网络风险分析必须携手共进以降低网络安全风险。

 

关键词:

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章