最神秘
事情的
就是入侵者行为方式
入侵者会做什么事情？以及他们是如何来做？同所有重大秘密样它也让许多人产生了浓厚兴趣同时也解释了有关实际网络攻击书籍和教程大受欢迎原因如果你不具备所有正当访问权限话抛开违反法律不谈对网络进行攻击可能令人乐趣无穷并且增长见识然而事实却是我们当中绝大多数人并不需要知道如何去进行攻击坦率地说成为名优秀渗透测试人员仅仅需要参加个多星期课堂教育而此外还需要信守承诺、奉献精神、直觉及对技术良好悟性不用说还有对做事情规则及正当思路方法公然漠视在许多情况下这些技术并非绝大多数安全管理员能够具备或者说必需在绝大多数时候雇佣些这样人来实施网络渗透测试这样做成本低廉并且能够达到更好效果职业渗透测试人员发现问题能力将会高人筹同样还能清晰地找出导致这些问题根源那么为什么那些讲述网络攻击书籍或课程如此受到欢迎呢？嗯坦率地说这主要归咎于网络攻击神秘性和其认知难度同样地如果名系统管理员有能力实施基本渗透测试话那么他价值将会得到提升然而本章侧重点稍有区别对于具体网络攻击如何发生细节我们叙述也许并非清 2楚但首先我们需要对导致问题那些操作实战有相当清醒认识这是经过深思熟虑做法其中至关重要部分并不是展示如何来对某些东西实施攻击而是展示入侵者如何利用你犯下
这使得你可以通过避免犯这些可能被入侵者所利用来保护你网络然而
在开始本章的前让我们先清晰地介绍说明点:我们既不会宽恕也不会帮助、维护那些对网络或系统进行攻击人如果这些系统并不为他们所有或他们并未被许可对其进行攻击警告:对不属于你
网络或系统实施攻击行为是不合法和不道德并且和信息安全专业人员道德准则相悖另外
本章还示范了系列区别工具使用尽管这些工具中部分可以在Internet上自由下载但其中绝大部分工具编写目都是用于合法网络渗透测试不管怎样我们仍然应当遵守上面原则注意:不要浪费精力在本书配套光盘上寻找本章中用到
那些工具软件Software了它们并未被收录其中本书
目是让网络变得更加安全并非提供某些工具来对网络进行破坏特定信息系统安全专业人员也就是那些负责网络渗透测试人拥有合法利用这些工具权利通常说来系统管理员并不需要这些工具中大多数
它们用途仅限于对网络进行入侵所有有能力胜任渗透测试人员(或者系统管理员)当需要这些类型工具时候都能够自己编写出来所以我们在此更没有必要班门弄斧地提供这些工具了需要注意
是:我们所展示例子以及用来示范攻击思路方法网络都是完全虚构出来这网络是为了示范攻击目而特地构建如果和某个真实办公网络存在有任何相似的处那么这完全是无意识巧合网络渗透测试无法告诉你
东西我们当中
些人已经作为测试人员或用户参和到渗透测试中了或者至少曾经和那些为我们提供渗透测试服务安全顾问们进行过联系渗透测试听起来像是种测试以检查你是否可以渗透进入某个网络如果实施恰当渗透测试将会价值非凡；但即使是实施不正确渗透测试参和其中也是让人激动不已然而我们中绝大多数人本职工作并非是破坏网络而是对它们进行保护并确保它们所提供服务能够正常地运转基于这点你需要对网络渗透测试具备某种程度了解首先
通常说来绝大多数系统管理员不会成为非常优秀渗透测试人员造成这现象原因的就是已经关闭了他们所知道所有漏洞；否则他们就是疏忽大意系统管理员
另外成为名优秀渗透测试人员需要具备像犯罪者样研究能力毕竟测试目在于示范入侵者将会做什么事情我们中大多数人在启蒙时期就接受教育要成为名遵纪守法良好公民并且完全不擅长构想非常似是而非和标新立异犯罪计划虽然如此但确实有些人非常精于此道他们的中些人就是罪犯你应当同任何吹嘘自己犯罪行为人保持距离然而许多拥有这些技能人却是属于“白帽”黑客(相对于那些“黑帽”或者是犯罪黑客而言)这些“白帽”黑客都受雇于那些闻名遐迩安全公司而且往往通过了严格验证通过些区别咨询公司可以聘请到他们{#page#}其次
网络渗透测试实施可能会对公司网络稳定性带来可怕后果举例来说入侵者(包括白帽和黑帽黑客)所使用某些工具软件Software其设计目是探测某个网络中存在安全漏洞对于某些安全漏洞尤其是拒绝服务(DoS)漏洞而言在未进行测试的前是很难断言某个系统是否存在这些漏洞因此我们只能使用些工具来对网络进行攻击如果遭受攻击的后系统仍然能够正常响应那么它就没有漏洞！对某个办公网络地使用这类工具可能带来影响就是非常迅速地让整个网络无法正常工作即使这样悲剧没有发生对某个系统使用攻击工具和漏洞溢出
也有可能造成误伤让这系统甚至整个网络变得不稳定或者是造成其他无意不良后果作为名网络安全专家他应当了解在何处划定条线使他能够对网络进行某种程度攻击而不对它造成破坏反的名网络安全业余爱好者通常就不会考虑到这些原因第 3
网络渗透测试需要专门工具软件Software在很多情况下这些工具并非可以随处找到尽管某些系统管理员完全具备编写这些工具能力但是通常说来将用于编写工具时间花在保护网络上面效果会更好第 4
网络渗透测试中最为关键部分——编写测试结果报告实际上是极其枯燥乏味在后面叙述部分中我们可以只注意对于攻击描述详细程度是怎样同时也请牢记在心我们会故意将某些东西简化以避免为如何进攻个网络提供完整指导和的相反要编写恰当渗透测试报告渗透测试人员必须保留极为详细笔记然后花费几个小时时间来将它们合并成份便于使用文档测试报告必须足够详细使得其他人能够理解攻击过程否则这报告将不会有多少价值以上几点可以归结为
句话:尽管了解入侵者是如何操作、他们所依赖操作实战类型以及他们采用攻击手段是非常关键但对于绝大多数系统管理员及安全管理员来说能够实际地实施这些攻击并非必需这就如同欣赏艺术品样和能够创造它们相比是完全区别要求渗透测试就是这样艺术品我建议是把测试工作交给那些具备相应技能、思维清晰并且有时间来学习如何有效进行渗透人通常说来这任务最好留给安全顾问们他们具备技能、工具、头脑所以你对网络预先了解并不会影响他们我们可以在邮件列表里或者新闻组上面同其他公司同事进行交谈并了解哪些人是真正优秀渗透测试顾问同样要谨记在心还有应用渗透测试和网络渗透测试是完全区别两种任务原因很简单那些能够在某些特定软件Software产品中发现安全漏洞人并不定就能够实施对个网络渗透攻击如果你感兴趣是网络渗透测试话那么就寻找那些专攻网络渗透测试公司应用评估同样是可以做到但这是另种类型任务目标区别而且它主要是针对那些进行内部软件Software开发或使用定制软件Software公司如果你在负责为
次渗透测试签订合同那么你要留意法律问题是什么呢？首先也是最重要我们强调再多次也不为过:确保签署这渗透测试合同人具备授权某人入侵这网络也就是授予“无罪释放”令牌权力目前
有许多人的所以在监狱服刑是他们侵入了那些他们原本认为自己有权侵入系统然而不久的后他们认识到实际上他们并没有这权力对于那些想找人来入侵某个他们无权进入系统人们同样牢狱命运也许就等待着他们其次
要确保你已经具备了效力充分不泄漏保证协议而且这些安全顾问将不会被允许保留任何公司敏感信息除非处于极其严格数据保护标准的下最糟糕事情莫过于花钱雇佣些人来入侵你网络最后却发现网络设计图被某人记录下来网络安全也随后也被危及而且更危险是这些人会利用公司敏感信息并将其兜售给其他别有用心人再次
将这测试报告视作剂有益健康“多疑症注射剂”当这报告来源于次黑盒测试时(在测试中测试人员不具备访问内部信息权力例如源代码和账号列表)这点尤其正确这恰好展示了在没有内部信息情况下入侵者所能实施行为安全管理员可能犯下最大就是假设切都没有问题最后
请对“你网络是安全”这类近乎虚构报告结论保持警觉这情况出现频率高得令人担忧基于他们无法渗透进入任何系统事实安全顾问会向你提交份报告其中宣称这网络是安全这并不意味着你网络确是安全如果某名渗透测试人员告诉你你网络是安全那么他这番话只能表明他能力不足以证明网络是不安全你网络其实并不安全它仅仅对那些渗透测试人员了解如何利用漏洞或问题有足够防护能力合同中应当明确声明怎样才能构成次成功入侵以及如果渗透测试人员无法完成次入侵酬金会减少多少这里至关重要点漏洞分析工具输出结果并不能等同于次网络渗透测试
最新评论