風險評估是網絡安全整體方案的一部分，并且是許多IT(互聯網技術)標準的要求。滲透測試是評估網絡安全風險的最常見(也是經常需要)的方法之一。滲透測試在風險評估中起著很重要的作用：全面的測試可幫助您識別、評估風險并確定其優先級。

在本文中，我們討論用于風險評估的三種常見的安全測試類型，并對它們的優缺點進行了分析。我們還將調查滲透測試的類型和階段，并共享優秀實踐，以使網絡安全風險評估更加有效。

[[341750]]

網絡安全風險評估

風險評估是一個過程，包括：

• 識別可能對組織造成任何損害的漏洞，威脅和風險
• 評估風險發生的概率
• 根據風險嚴重程度和發生的可能性確定緩解優先級

在風險管理中，評估之前先確定風險的背景，然后對這些風險作出響應和監控。

NIST Special Publication 800-39定義的風險管理

評估風險和威脅是改善網絡安全的最重要步驟之一。這是一個持續的過程，可以幫助您評估安全控制，檢測問題并評估其影響。進行評估有幾個主要原因：

• 為了防止黑客入侵，數據泄露和數據丟失。定期檢查網絡安全控件可以使您在黑客利用漏洞之前檢測并關閉漏洞。
• 檢查網絡安全性。獨立的風險評估可對網絡的安全控制進行檢查。它可以幫助您更新有關受保護環境的知識，尤其是在進行重大更改(例如部署新軟件，安裝新硬件或移至新位置)之后。
• 提高決策能力。確定風險帶來的影響是風險評估的重要組成部分。此信息對于做出與網絡安全有關的進一步決策很有用，比如預算，計劃改進，確定修復的優先順序等。
• 減少網絡安全支出。評估是一個既費時又費錢的過程。但從長遠來看，它可以防止數據泄露、黑客攻擊和違反法規遵性，從而使您免受更嚴重的損失。
• 確保合規。風險管理是許多法律、法規和標準的一部分，包括NIST Special Publications，HIPAA，PCI DSS和GDPR。不遵守與您的業務有關的規定可能會導致巨額罰款。

有效風險評估的三個階段

風險評估的程序和工具對于每個組織和項目都是獨一無二的。然而，在任何情況下都必須實施三個階段。

風險評估的三個基本階段

第一步是確定您需要保護的內容。這是一個可由安全團隊執行的管理程序。該活動的結果是需要保護所有的數據和資源的列表。通常，此列表包括：

• 客戶/客戶和員工的個人身份信息
• 財務數據
• 商業和工業秘密
• 關鍵基礎設施
• 其他……

風險評估的第二階段是檢測漏洞。在網絡安全中，這可以通過漏洞掃描來實現，漏洞掃描是一種基于已知軟件和硬件缺陷來識別安全系統中問題的自動化過程。

通過此分析，您將獲得環境中的漏洞列表。

風險評估的第三個也是最后一個階段是定義威脅并評估風險。在此階段，您需要：

• 分析發現的漏洞
• 找出可能的漏洞
• 估計發生風險的可能性
• 評估風險發生后對業務的潛在后果

風險評估的結果是按風險的嚴重程度和對業務的影響優先級的風險列表。此列表是進行風險緩解活動、優先考慮安全修復和實施新的安全控制的基礎。但在編制這份清單之前，我們需要選擇一種評估風險的方法。

有三種流行的方法可以進行第三階段的風險評估。在下一部分中，我們將分析選擇每種方法的功能，工作流程以及原因。

比較常見的風險評估方法

有很多可用于風險評估的安全實踐和方法。最受歡迎的三個是：

• 滲透測試
• 紅隊測試
• 基于風險的測試

讓我們了解一下這些測試方法的優缺點，以及它們之間的區別。

風險評估的安全測試方法

滲透測試使用多種手動技術和自動化工具來模擬對組織的網絡安全系統和應用程序的攻擊。在此過程中，測試人員確定漏洞的可能利用情況，并估計它們可能造成的潛在損害。滲透測試可能還包括漏洞掃描。滲透測試的主要目標是確定和評估組織的所有網絡安全威脅和風險。

紅隊測試與滲透測試有很多共同點。這種方法還可以模擬對受保護環境的攻擊，但是這種攻擊更具針對性、可控性和直觀性。測試團隊不會利用所有漏洞，而是選擇他們想要獲取的數據類型，要利用哪些安全問題以及如何模擬高級威脅攻擊者的行為。紅隊只能由第三方測試團隊進行，因為重點是要從外部獲取安全控制。紅隊測試最流行的用例之一是評估滲透測試后所做的安全性改進。但是使用這種類型的測試來檢查整個受保護的環境是不合理的。

基于風險的測試是一種安全測試方法，它根據發現的威脅和風險對活動進行優先級排序。通過這種方法，測試人員和安全專家可以就潛在風險達成共識，并根據影響程度對其進行分級。當項目有嚴格的時間限制或者您需要緊急的風險評估和安全性改進時，基于風險的測試是最好的選擇。

讓我們從風險評估的角度比較這些測試方法的有效性。

在這三種方法中，用于網絡風險評估的滲透測試在時間消耗，成本，風險覆蓋范圍和結果方面是最平衡的。另外，定期進行滲透測試是NIST，HIPAA，PCI DSS，GDPR和其他制度的要求。

在進行滲透測試之前，重要的是要了解滲透測試的類型以及此過程的基本工作流程。

滲透測試

除了模擬黑客攻擊之外，還有更多的事情要做。根據您的要求，期望的結果和目標，您需要選擇適當的滲透測試類型，然后考慮將要使用的方法以及可能遇到的問題。

滲透測試分為三種：

• 白盒測試 -測試團隊完全了解目標環境，包括有關軟件體系結構和源代碼的知識。他們不需要進行額外的研究或漏洞掃描，從而為更多的測試活動節省時間。此外，他們只需要證明漏洞利用的可能性，而不是如何利用漏洞。白盒測試可以由內部安全專家或第三方供應商執行。當您想針對內部攻擊測試安全控件時，這種類型的測試非常有用。白盒測試方法包括DoS攻擊，內存取證，物理侵入，逆向工程，模糊測試等。
• 黑盒測試 -測試團隊幾乎不了解環境。因此，他們必須使用任何可公開訪問的信息進行滲透。換句話說，這種滲透測試模擬了外部黑客攻擊。黑盒測試需要花費大量時間，但可以提供最客觀的安全漏洞和風險評估。您需要一個外部組織來進行這種滲透測試。而且，您的IT專家必須不知道他們正在接受測試。黑盒測試人員使用與白盒測試人員相同的方法，只是增加了物理攻擊。他們還利用漏洞掃描，社會工程，暴力破解和特權升級，以及創建或使用現有的惡意軟件來滲透受保護的環境。
• 灰盒測試 —它是白盒測試和黑盒測試的結合版，測試團隊在滲透的環境中獲得有限的數據。例如，您可以為測試人員提供所用應用程序的文檔，但不提供訪問憑據或源代碼。與黑盒測試相比，此類測試花費的時間相對較少;與白盒測試相比，僅提供部分代碼覆蓋。灰盒測試也必須由第三方進行。進行這種類型的安全評估的測試人員會使用白盒測試和黑盒測結合的方法。

三種滲透測試

這些測試類型都有自己的工作流程。然而，與風險評估程序類似，任何持久性測試共有三個階段。

首先，攻擊前有一個準備階段：映射網絡和外圍環境、掃描端口、研究漏洞利用和已知漏洞、選擇工具等。在白盒測試中，此階段還包括收集目標組織及其員工的信息。準備是滲透測試最耗時的階段，但也是最重要的。

在攻擊階段，測試人員試圖破壞目標網絡：破壞受保護的外圍設備、獲取或升級權限、訪問數據和清除痕跡。

最后，攻擊后階段包括評估潛在損害并報告滲透測試過程的結果。此類報告總結了風險評估過程，通常包括：

• 發現的漏洞(如果掃描它們屬于滲透測試的范圍)
• 測試期間使用的方法和工具的說明
• 漏洞列表(已使用和可能的)
• 分析這些漏洞可能帶來的風險
• 評估發現的風險可能對業務造成的影響

使用此報告，您可以繼續進行風險管理的下一階段：風險緩解和控制。例如，使用滲透測試結果，您可以：

• 評估安全控制的當前狀態
• 觀察您的安全團隊對黑客攻擊的反應
• 有理由增加您的網絡安全預算
• 定義安全改進并確定其優先級
• 創建修補程序并采取長期的緩解措施

如我們所見，滲透測試是評估網絡安全控制和風險的好方法。但是，請務必牢記滲透測試的風險。讓我們在下一部分中了解它們。

本文翻譯自：https://www.apriorit.com/dev-blog/676-cybersecurity-risk-assessment-with-pentesting

接下篇《滲透測試評估風險的簡要指南Part 2》