[資安服務] 001 滲透測試定義與資安服務比較

飛飛 | 2021-12-03

常見資安服務分成弱點掃描、滲透測試、紅隊演練。本篇文章介紹滲透測試的測試方式定義（黑箱、白箱與灰箱）服務比較，分析每個服務差異性。

資安服務

何謂滲透測試

以駭客的角度，針對企業的網路、系統、網站進行檢測弱點與漏洞，並撰寫一份滲透測試報告提供給企業，該報告內容包含測試過程結果與修復建議，企業收到此報告後，可根據報告內容進行弱點修復。

企業內部常有敏感資料（客戶資料、業務資料、財務資料等）、公司資產、企業的 Know How，這些資料若被駭客取得並且流於市面，可能造成業務財產損失重大。

因此在被惡意駭客利用弱點或漏洞攻擊之前，先委託資安公司進行滲透測試，針對公司的網路、使用系統與網站是否安全。

滲透測試的目標，針對企業所使用的：

受測試方主要需提供以下資訊，供測試方進行時程評估與報價：

測試目標需要與企業進行溝通與接洽，確認目標後進行簽約，保障雙方權益。
因測試行為可能會構成刑法妨害電腦使用罪等罪名，因此需要透過簽約，取得合法授權，再進行滲透測試。

根據受測試方提供的資訊與接洽的結果，可根據測試目標所獲得的資訊量，分成以下三種滲透測試類型：

進行黑箱測試，除了知道目標名稱和 IP 之外，受檢測方沒有提供其他資訊，以模擬惡意的攻擊者，針對性進行攻擊的狀況。因為沒有太多資訊，因此需要花費許多時間在「蒐集資訊」的時間，測試方會花費大量的時間與成本(導致報價也會提高)。

可透過設定條件減少檢測成本，以受測網站帳號密碼被竊取為出發點，受檢測方提供帳號密碼，可加入測試方檢測時間。

進行白箱測試，受檢測方提供目標的內部結構、基礎設施與應用程式的程式碼、帳號密碼與目標的所有資訊。

藉由白箱與灰箱之間，測試人員取得有限的目標資訊，可能因為程式、系統委外給第三方開方，因此沒有詳細的服務手冊。

測試人員以滲透工具與檢測手法，發現目標系統/網站存在，以下但不限於的弱點/漏洞類型：

常見的資安服務分成弱點掃描、滲透測試、紅隊演練。

以弱點掃描軟體進行針對企業的固定範圍如企業內部網段或企業指定網站，可分成以下兩種：

網路弱點掃描
- 常透過商業掃描軟體 Nessus、開源軟體 Open VAS 針對企業網路內部尋找企業的服務、系統是否存在已知的漏洞，類型通常為作業系統版本、插件版本過低。
網站弱點掃描
- 常透過商業掃描軟體 Acunetix Web Vulnerability Scanner（AWVS）、開源軟體 OWASP ZAP 針對企業網站進行檢測，漏洞類型通常為 SSL 版本過低、TLS 版本脆弱、Cookie 未加上 Httponly 或 secure 等弱點。

常有誤判的可能性，因此要透過人工驗證確認是否有誤判。

以企業整體進行演練，包含完整滲透測試、後滲透(橫向移動等)，依據客戶需求可能包含社交工程、 DDoS、實體安全。

資安服務資安服務