網(wǎng)絡(luò)攻擊的復(fù)雜性、殺傷力、成本和數(shù)量的增加說明了滲透測試/滲透測試的必要性，它使組織能夠積極應(yīng)對網(wǎng)絡(luò)安全。然而，滲透測試的有效性取決于組織所采用的滲透測試方法。存在不同的滲透測試方法，每種方法都有一些優(yōu)點、局限性和范圍。?繼續(xù)閱讀以了解最流行的 5 種滲透測試方法。
最流行的滲透測試方法
1. OWASP 滲透測試方法論
OWASP（Open Web Application Security Project）的 Web 應(yīng)用程序滲透測試方法是業(yè)界最受認可的標準。OWASP 是一個精通的社區(qū)，全面更新最新技術(shù)和威脅形勢。它提供了一套詳盡的指南來測試現(xiàn)代 API、Web 和移動應(yīng)用程序。它不僅包括應(yīng)用程序，還包括技術(shù)、人員和流程。
使用這種Web 應(yīng)用滲透測試方法的顯著優(yōu)勢之一是它可以無縫集成到軟件開發(fā)生命周期 (SDLC) 中并在其中使用。它為 SDLC 每個階段的測試提供了詳細的指南——從需求定義、設(shè)計、開發(fā)到部署和維護。不僅僅是滲透測試人員，任何尋求開發(fā)設(shè)計安全軟件的網(wǎng)絡(luò)開發(fā)人員或 IT 公司都可以使用這種詳細和更新的方法。
因此，OWASP 方法使?jié)B透測試人員能夠識別應(yīng)用程序中的各種漏洞。不安全的開發(fā)實踐導(dǎo)致的復(fù)雜邏輯缺陷、錯誤配置和編碼缺陷，僅舉幾個漏洞。此外，該方法還提供了切實可行的建議來評估風險、確定問題的優(yōu)先級并加強安全性。鑒于龐大的用戶社區(qū)，不乏關(guān)于該方法的技術(shù)、文章、工具和指南。
2. OSSTMM
由安全和開放方法研究所 (ISECOM) 開發(fā)的開源安全測試方法或 OSSTMM 提供了一種科學的滲透測試方法。它還包括一個同行評審的框架，該框架提供了操作安全強度的準確描述。它的創(chuàng)建是為了支持網(wǎng)絡(luò)開發(fā)團隊。OSSTMM 被認為是一個通用標準。
OSSTMM 建議滲透測試人員將操作安全性分解為五個不同的渠道：
- 人類安全
- 人身安全
- 無線通訊
- 電信
- 數(shù)據(jù)網(wǎng)絡(luò)
因此，它使?jié)B透測試人員能夠從不同角度查看安全操作及其許多組件，從而有效地識別安全漏洞。?這種滲透測試方法不提倡或規(guī)定要使用的任何特定協(xié)議或軟件。它通過定義一套全面的指南、最佳實踐、詳細的測試計劃、安全級別評估指標和最終報告建議，為?執(zhí)行任何滲透測試提供了堅實的基礎(chǔ)。
因此，滲透測試人員可以依賴這些指南并根據(jù)特定客戶的上下文、需求、業(yè)務(wù)流程、行業(yè)細節(jié)、技術(shù)和挑戰(zhàn)定制安全評估。這種方法通過使其科學、詳細、可衡量和基于事實來提高滲透測試的有效性。它使組織能夠通過綜合建議加強其安全態(tài)勢。?這種滲透測試方法的成功依賴于滲透測試人員的智力、知識和經(jīng)驗水平。
3. 美國國家標準與技術(shù)研究院
NIST（美國國家標準與技術(shù)研究院）在其滲透測試方法手冊中提供了一套具體而精確的指導(dǎo)方針，以加強組織的整體網(wǎng)絡(luò)安全態(tài)勢。本安全手冊的最新版本強調(diào)了關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全并降低了網(wǎng)絡(luò)攻擊的風險。
這種技術(shù)滲透測試方法包括：
- 檢查方法
- 對常規(guī)目標漏洞的評估
- 分析測試結(jié)果的建議
- 制定措施以盡量減少安全風險
遵守 NIST 滲透測試框架是一些美國企業(yè)和合作伙伴的合規(guī)標準。該框架旨在保障具有不同運營規(guī)模的行業(yè)和組織的信息安全。
4.國際安全援助部隊
信息系統(tǒng)安全評估框架或 ISSAF 由開放信息系統(tǒng)安全組 (OISSG) 開發(fā)，是一種復(fù)雜、結(jié)構(gòu)化和專業(yè)的滲透測試方法。?眾所周知，它是一個全面的框架，涵蓋了 InfoSec 的多個方面。它仔細記錄了模擬攻擊的步驟順序，以及對每個步驟中使用的工具和預(yù)期結(jié)果的建議。它甚至推薦真實攻擊者使用的工具，以幫助在某些情況下模擬高級攻擊場景。這些指南非常細致，甚至包括在測試后報告和銷毀工件。?ISSAF 最適合面臨獨特安全挑戰(zhàn)且需要高級滲透測試方法的組織。
5. PTES框架
滲透測試方法和標準 (PTES) 框架強調(diào)了構(gòu)建基本滲透測試的方法，以及具有高級要求的組織的高級變體。該框架詳細介紹了 從初始通信到威脅建模再到報告等各種滲透測試步驟（包括后續(xù)測試）。它使組織能夠識別最高級環(huán)境中的漏洞。它還會驗證已識別的漏洞是否已得到適當修復(fù)。
