消除系统和应用程序的弱点是网络安全的重中之重。公司依靠各种技术来发现软件缺陷，但是没有一种测试方法能够提供比渗透测试更现实，更全面的分析。

本文是渗透测试的简介。请继续阅读以了解笔测试的工作原理，以及公司如何使用这些测试来防止代价高昂的破坏性违规行为。

渗透测试定义
渗透测试（或笔测试）是对网络攻击的模拟，该攻击对计算机系统，网络或应用程序进行安全性弱点测试。这些测试依赖于真正的黑客用来破坏企业的工具和技术的混合。

笔测试人员通常结合使用自动化测试工具和手动操作来模拟攻击。测试人员还使用渗透工具来扫描系统并分析结果。一个好的渗透测试工具应该：

易于设置和使用。
快速进行系统扫描。
根据严重性对弱点进行排序。
自动验证薄弱点。
重新验证过去的漏洞利用。
提供详细的报告和日志。
渗透测试的其他常用名称是白帽攻击和道德黑客。

笔测试的主要目的是确定操作系统，服务，应用程序，配置和用户行为中的安全问题。这种测试形式使团队能够发现：

系统漏洞和安全漏洞。
缺乏对数据隐私和安全法规（PCI，HIPAA，GDPR等）的遵守
整个团队缺乏安全意识。
威胁识别协议中的缺陷。
事故响应计划的改进空间。
安全策略中的错误。
公司通常会聘请外部承包商来进行笔测试。缺乏系统知识，使得第三方测试人员比内部开发人员更全面，更有创造力。一些公司还运行赏金计划，邀请自由职业者入侵系统，并承诺如果他们破坏系统，则将收取费用。

渗透测试的最终结果是什么？
渗透测试的最终结果是笔测试报告。报告将有关缺陷的信息告知IT和网络系统管理员，并利用发现的测试进行开发。报告还应包括解决问题和改善系统防御的步骤。

每个笔测试报告应包括：

执行摘要：该摘要提供了该测试的高级概述。非技术读者可以使用摘要来深入了解笔测试所揭示的安全问题。
工具，方法和向量：本节介绍测试背后的工具和方法。测试人员还概述了导致成功突破的分步攻击模式。
详细调查结果：本节列出了渗透测试发现的所有安全风险，漏洞，威胁和问题。与执行摘要不同，报告的这一部分深入介绍了技术细节。
建议： “建议”部分介绍了如何提高安全性并保护系统免受实际网络攻击。

您应该多久进行一次渗透测试？
公司定期进行渗透测试，通常每年一次。除年度测试外，公司还应在以下情况下组织一次笔测试：

添加新的网络基础结构。
安装新的应用程序。
显着升级或修改基础架构或应用程序。
在新位置设置办公室。
添加新的安全补丁。
更改最终用户策略。
根据您公司的规模和预算，每当团队做出更改时就进行渗透测试可能是不现实的。在这种情况下，团队应结合使用渗透测试和漏洞扫描。自动漏洞扫描虽然效率不高，但比笔测试更快，更便宜。

渗透测试范围
此步骤涉及测试的初步准备。团队应：

概述测试的物流。
定义测试范围。
设定期望。
设定目标。
定义渗透团队的进攻极限。
考虑潜在的法律影响。
侦察（情报收集）
黑客开始了解该系统，并在情报收集阶段寻找潜在的切入点。此阶段需要团队首先收集有关目标的信息，但测试人员还可以发现表面级别的薄弱点。

侦察步骤包括以下内容的扫描：

所有的硬件。
本地和无线网络。
防火墙。
相关的应用程序。
网站。
基于云的系统。
员工行为和协议。
侦察阶段的另一个通用术语是开源情报（OSINT）收集。

威胁建模
测试人员使用侦察阶段的洞察力来设计自定义威胁，以渗透到系统中。该团队还识别和分类不同的资产以进行测试。

开发
测试人员试图通过他们在较早阶段发现的入口点闯入目标。如果他们违反了系统，测试人员将尝试提升他们的访问权限。在系统中横向移动使笔测试人员能够识别：

不良的网络细分设置。
访问敏感数据和资源。
帐户和密码管理薄弱。
剥削后
笔测试人员通过利用系统漏洞评估黑客可能造成的破坏程度。开发后阶段还要求测试人员确定安全团队应如何从测试违规中恢复。

分析，报告和创建可行的保护步骤
测试人员将测试结果汇总为一份报告，概述：

黑客活动的分步细分。
发现的弱点和漏洞。
数据测试人员能够到达。
测试员在系统中仍未被检测到的时间。
公司必须采取的步骤来消除漏洞并防御实际攻击。
重新测试
一旦安全团队从笔报告中实施了更改，系统就可以进行重新测试了。测试人员应该进行相同的模拟攻击，以查看目标是否现在可以抵抗突破尝试。

标准化渗透测试方法
公司通常依赖于五个标准化的渗透测试方法之一：OWASP，OSSTMM，ISSAF，PTES和NIST。

OWASP（开放Web应用程序安全项目）是用于识别应用程序漏洞的框架。该方法使团队能够：

识别Web和移动应用程序中的漏洞。
发现开发实践中的缺陷。
OWASP还使测试人员能够对风险进行评分，从而节省时间并帮助确定问题的优先级。该框架具有庞大的用户社区，因此不乏OWASP文章，技术，工具和技术。

OSSTMM
OSSTMM（开源安全性测试方法手册）依靠科学的方法来进行网络渗透测试。这个经过同行评审的框架为道德黑客提供了理想的操作安全性准确表征。

OSSTMM使笔测试人员能够运行适合组织技术和特定需求的定制测试。

国际安全援助部队
ISSAF（信息系统安全评估框架）提供了一种专门的结构化测试方法。

对于希望详细计划和记录笔测试的每个步骤的测试人员而言，此框架是理想的选择。ISSAF对于使用不同工具的测试人员也很有用，因为该方法允许您将每个步骤绑定到特定工具。

PTES
PTES（渗透测试方法和标准）提供了高度结构化的七步测试方法。该方法可以指导测试人员完成所有渗透测试步骤，从侦察和数据收集到开发后和报告。

PTES要求测试人员了解组织的流程以运行成功的测试。

国家标准技术研究所
NIST（美国国家标准技术研究院）提供了精确的渗透测试指南，以提高整体网络安全性。该框架在银行，通信和能源等高风险行业中很流行。

遵守NIST通常是美国企业的监管要求。为了遵守NIST，公司必须在应用程序和网络上进行渗透测试。

渗透测试的类型
渗透测试在目标，条件和目标方面有所不同。根据测试设置，该公司向测试人员提供有关系统的不同程度的信息。在某些情况下，安全团队是对测试知识有限的团队。

黑匣子渗透测试
渗透小组在黑盒测试中没有有关目标系统的信息。黑客必须找到进入系统的自己的方式，并计划如何安排违规行为。

通常，测试人员仅在黑匣子测试开始时才使用公司名称。渗透小组必须从详细的侦察开始，因此这种形式的测试需要大量时间。

灰盒渗透测试
测试团队了解具有较高特权的用户。黑客知道：

文档的设计和架构。
内部结构。
灰盒笔测试使团队从一开始就可以专注于具有最大风险和最大价值的目标。这种类型的测试非常适合模仿可以长期访问网络的攻击者。

白盒渗透测试
笔测试人员在开始工作之前已获得有关目标系统的信息。该信息可以包括：

IP地址。
网络基础架构示意图。
用户协议。
系统工件（源代码，二进制文件，容器）。
根据设置，测试人员甚至可以访问运行系统的服务器。虽然不如黑匣子测试那样真实，但白匣子组织起来又快又便宜。