8.2. 定義評估與測試

安全弱點偵測可以劃分為兩個類型: Outside looking ininside looking around

當執行一個 "outside looking in" 的安全弱點偵測時,您將試著從外部危害您的系統。 處身於公司的外部 將可讓您擁有怪客的視界,您可以看到怪客所看到的東西 — 如可被公眾存取的 IP 位址、在 DMZ 區域的 系統以及防火牆的外部介面等等。

當您執行一個 "inside looking around" 的安全弱點偵測時,由於您已經在系統內部,所以您已佔優勢,而且 您的狀態已經提昇為受信任的。 這是當您與您的同事登入到系統時的視界,您可以看到列印伺服器、檔案伺服器、 資料庫以及其他的資源。

這兩種安全弱點偵測類型有很大的分別,處身於公司內部將給予您提昇的權限 — 比任何的局外人都還高。 於今日大部分的公司中,仍然以這種方式來設定安全性以將入侵者阻隔在外。 公司內部的保全措施相當差(如 部門間的防火牆使用者層級的存取控制以及內部資源的認證程序等等)。 基本上,當您進行 "inside looking around" 時,您可以存取到更多的資源,因為大部分的系統都存在於公司的內部。 一旦您將自己設身於公司外部,您的 狀態將馬上成為未受信任的。 在外部您所能的存取的系統與資源將會非常有限。

請考量在安全弱點偵測與『滲透測試』 間的相異處,請將安全弱點偵測當作滲透測試 的第一步驟,從偵測收集到的資訊將會使用於測試中,然而這個偵測將會檢查安全性漏洞與潛在的弱點,滲透測 試實際上將試著破壞所發現的資源。

存取網路的基礎架構是一個動態的程序,資訊與實體上的安全也都是動態的。 執行一個偵測將可顯示出一個 概要以及主動錯誤訊息(false positives) 和被動錯誤訊息(false negatives)。

安全性的管理員只是與他們所使用的工具以及他們保有的知識一樣好,請使用目前所有可用的偵測工具,並於 您的系統上執行它們,將可以向您保證至少會出現一些主動錯誤訊息。 不管是因為程式錯誤或使用者的錯誤, 結果將會是相同的。 這些工具也許會發現實際上不存在的弱點(主動錯誤訊息);這些工具也許不會發現實際上 確實存在的弱點(被動錯誤訊息)。

現在我們已經定義了安全弱點偵測與滲透測試的不同處,在您進行滲透測試之前,最好小心地檢視偵測找到的 資源。

警告警告
 

嘗試破壞生產資源的弱點,將會對您系統與網路的生產能力與效率造成相反地效果。

以下的清單列出執行安全弱點偵測的一些好處。

8.2.1. 建立一個方法論

為了輔助安全弱點偵測工具的選擇,建立一個安全弱點偵測的方法論是很有幫助的。 很不幸的,目前沒有任何 預先定義好的或業界認可的方法論標準,然而一般常識與良好的實習可以當作一個足夠的指引。

什麼是我們的目標? 我們是要針對一部伺服器還是要針對整個網路以及網路中的所有資源? 我們是 位於公司的內部或外部? 這些問題的答案是很重要的,因為它們可以輔助您決定要選擇那些工具 以及該如何使用這些工具的方法。

如需關於建立方法論的資訊,請參考下列的網站: