您当前所在的位置:首页 / 新闻中心 / 行业资讯
新闻中心
行业资讯
官方动态
知识百科
产品技术

黑色,白色和灰色盒子渗透测试

发表于:2018-07-07



根据研究,渗透测试市场将从2016年的594.7万美元增长到2021年的1,724.3万美元实际上难怪。大型和小型企业每年甚至每季度在渗透测试服务上花费大量资金以享受其优势:防止经济损失,遵守安全法规并在客户眼中保持安全意识形象。

渗透测试

信息安全提供商通常提供几种类型的渗透测试:黑盒子,白盒子和灰盒子。每种类型的骨干是什么?有什么优点和缺点?让我们仔细看看。

黑盒渗透测试

概观

当渗透测试工程师(又名道德黑客或测试者)使用黑盒模型时,他们对网络的知识(例如,公共服务器的主机名,IP地址)严格限制,并且没有关于客户安全策略,网络结构的信息、使用的操作系统,软件和网络保护。只有手头的这些细节,道德黑客必须穿透最远的网络并检测尽可能多的漏洞。

进行黑盒测试的五个阶段

1. 侦察

在测试之前,道德黑客调查客户以形成目标的清晰图像。不同的公共信息来源派上用场:客户的网站,WHOIS数据库(域名的在线存储库),网络搜索引擎,贸易杂志甚至黄页。

2. 扫描

在此阶段,道德黑客可能会获取有关侦听服务和端口的信息,以确定客户使用的操作系统类型。例如,TCP-UDP端口137,138,139,445建议使用Microsoft OS; 端口22上的SSH,端口21上的FT或端口53上的DNS表示Linux操作系统。

确定OS类型的另一种方法是使用NMap - 一种使用TCP / IP堆栈指纹识别的实用程序。黑客团队还将在网络中搜索错误的拨入调制解调器(因为它们可用于绕过外围防御)并启动漏洞扫描程序(一种自动化工具,用于检查网络是否存在安全漏洞并生成有关搜索的详细报告)结果)。

3. 枚举

枚举阶段旨在连接目标主机以暴露网络中的攻击向量。在这里,道德黑客专注于开放网络服务和共享,可能与客户的关键资源,用户名和用户组(发现默认用户或管理员帐户)和横幅屏幕(如果配置错误,他们可能会暴露软件和设备)直接链接类型)。

4. 获得访问权限

获得访问权是整个渗透测试操作的高潮。这是乐趣开始的地方,因为测试团队试图使用密码破解,缓冲区溢出或针对特定网络节点的DoS来破坏目标系统。

5. 权限升级和访问维护

一旦黑客团队在没有任何特权的情况下进入网络,他们的目标是在密码破解工具的帮助下获得管理员级别的访问权限并保持对网络的访问。要做到这一点,测试者创建后门,当然,在项目结束之前,道德黑客会将其移除。

优点和缺点

上述五个阶段代表了渗透过程的完整周期。这里的主要优点是道德黑客在栩栩如生的条件下工作,因此他们接近发现最大数量的漏洞。此外,黑盒渗透测试通常使用开源工具,因为很可能网络犯罪分子也会使用它们。由于这些免费工具,与白盒或灰盒测试相比,客户的渗透测试成本要低得多。

但是,在黑盒渗透测试中使用开源工具有其缺点,因为它们具有功能限制。黑盒渗透测试的另一个缺点是测试人员无法看到整个基础架构,因为客户在网络上提供的信息很少。因此,测试者可能会错过一些重要的漏洞。

白盒渗透测试

概观

白盒渗透测试假设道德黑客了解客户的网络秘密,例如管理员权限和对配置文件的访问权限。让我们考虑一个公司需要对其在线服务进行白盒渗透测试的示例。在这种情况下,测试团队可以查看服务器配置,与之通信的人员以及数据库加密原则。

优点和缺点

白盒渗透测试是一种确定性方法,因为道德黑客知道目标系统的所有内容。这个因素对于测试者有利,因为它有助于应对项目时间限制。同时,此类测试不提供有关犯罪分子进入网络的方式的任何信息,因此这些漏洞仍未修补。此外,客户通常不准备与测试人员分享他们的网络见解,因为它涉及安全风险。

黑匣子与白盒报告

白盒和黑盒测试最终都会报告客户网络中检测到的漏洞。在黑匣子模型中,报告具有所谓的补救措施 - 可能的预防措施,基于承包商的经验。白盒报告反过来为客户提供建议满足客户的安全需求。黑盒测试后的补救步骤没有实施,因为它们代表了最佳实践,并且不像白盒测试后的建议那么详细。当白盒渗透测试完成后,承包商可以实施这些建议。在这里,只有当渗透测试服务提供商表现良好并且被证明是值得信赖的合作伙伴时,客户才应考虑此选项,他们不会尝试为不存在的漏洞筹集资金。否则,最好更换承包商。此提供程序将仔细检查漏洞并实施建议。

灰盒测试

概观

灰盒渗透测试包括上述方法。不过,它更接近黑盒测试。客户在其网络上部分共享信息,例如用户登录详细信息或网络概述。在对Web应用程序进行渗透测试的情况下,测试工程师将尝试发现潜在的入口点。其中一些是免费提供的(文件下载表单,反馈表单),有些仅供企业用户使用(身份验证表单)。公司可以为测试工程师提供公司帐户,以便更深入地进入网络。

优点和缺点

在灰箱模型中,客户无法提供有关其网络的所有见解。这个因素加上对测试范围和时间限制的限制可能是道德黑客忽视重要漏洞的原因。因此,在选择此方法之前,客户应该定义哪些网络区域需要渗透测试,哪些网络区域应该由测试者访问。

黑色,灰色还是白色?

简而言之,渗透测试类型从不同的角度给出了网络安全状态的视图:

  1. 黑匣子:局外人的观点

  2. 白盒子:特权内幕

  3. 灰色框:具有内幕信息元素的局外人

在选择他们最喜欢的渗透测试颜色之前,公司应该确定他们想要获得的网络安全性的信息类型。如果你想在外部网络周边模拟真实的黑客攻击,请选择黑盒子; 白框 - 如果要检查网络系统是否配置正确; 灰色框 - 如果你想要黑盒测试,但有更深入的见解。