渗透测试:信息安全测试和评估技术指南NIST SP 800-115

admin 2022年10月26日14:35:06评论171 views字数 2639阅读8分47秒阅读模式

关注公众号,回复“河南测评1027”获取“Kali系统下所有工具的教程使用手册汇总官方原版”,了解kali Linux更多知识


信息安全测试和评估技术指南

NIST特别出版物800-115

渗透测试:信息安全测试和评估技术指南NIST SP 800-115

摘要

信息安全评估是确定被评估实体(例如,主机、系统、网络、程序、人员(称为评估对象)如何有效地满足特定安全目标的过程。可以使用三种类型的评估方法来实现这一目标-测试,考试和面试。测试是在指定条件下执行一个或多个评估对象以比较实际行为和预期行为的过程。检查是检查、审查、观察、研究、分析一个或多个评估对象的过程,以利于理解、澄清或获取证据。访谈是与组织内的个人或团体进行讨论的过程,以促进理解,实现澄清或确定证据的位置。评估结果用于支持随着时间的推移确定安全控制的有效性。

本文档是执行信息安全评估的基本技术方面的指南。它介绍了组织可能用作评估一部分的技术测试和检查方法和技术,并向评估人员提供了有关其执行及其对系统和网络可能产生的潜在影响的见解。为了使评估成功并对系统(最终是整个组织)的安全状况产生积极影响,执行测试和检查之外的元素必须支持技术过程。本指南还提供了针对这些活动的建议,包括可靠的规划流程、根本原因分析和定制报告。

本文档中介绍的流程和技术指导使组织能够:

制定与评估技术方面相关的信息安全评估策略,方法以及个人角色职责

通过提供以下指导,准确规划技术信息安全评估:确定要评估的系统和评估方法、解决后勤考虑因素、制定评估计划以及确保解决法律和政策考虑因素

使用提供的方法和技术安全有效地执行技术信息安全评估,并对评估期间可能发生的任何事件做出响应

在整个评估过程中妥善处理技术数据(收集、存储、传输和销毁)

进行分析和报告,将技术发现转化为风险缓解措施,从而改善组织的安全状况。

本出版物中提供的信息旨在用于各种评估目的。例如,一些评估侧重于验证特定安全控制(或多个控制措施)是否满足要求,而其他评估则旨在识别、验证和评估系统的可利用安全漏洞。还执行评估以提高组织维护主动计算机网络防御的能力。评估并不意味着要取代实施安全控制和维护系统安全性。

为了完成技术安全评估并确保技术安全测试和检查提供最大价值,NIST建议组织:

建立信息安全评估策略。这确定了组织执行评估的要求,并为适当的个人提供了问责制,以确保按照这些要求进行评估。评估策略应解决的主题包括评估必须遵守的组织要求、角色和职责、对既定评估方法的遵守情况、评估频率和文档要求。

实施可重复且有案可稽的评估方法。这为评估提供了一致性和结构,加快了新评估工作人员的过渡,并解决了与评估相关的资源限制。使用这种方法使各组织能够最大限度地发挥评估的价值,同时最大限度地减少某些技术评估技术可能带来的风险。这些风险的范围可以从由于担心影响系统功能而未收集有关组织安全状况的足够信息,到在没有适当保护措施的情况下执行技术来影响系统或网络可用性。将某些评估技术引起的风险降至最低的过程包括使用熟练的评估员,制定全面的评估计划,记录评估员活动,在下班时间进行测试以及对生产系统(例如开发系统)的副本进行测试。组织需要确定他们愿意接受每次评估的风险级别,并相应地调整其方法。

确定每个安全评估的目标,并相应地定制方法安全评估具有特定的目标、可接受的风险级别和可用资源。由于单独执行时,没有单独的技术可以全面了解组织的安全性,因此组织应使用多种技术的组合。这也有助于组织限制风险和资源使用。

分析调查结果,并开发风险缓解技术以解决弱点。为确保安全评估提供其最终价值,组织应在完成评估后进行根本原因分析,以便将结果转化为可操作的缓解技术。这些结果可能表明,各组织不仅应解决技术弱点,还应解决组织过程和程序中的弱点。


1.... 引言

1.1      权责
1.2      目的和范围
1.3      受众
1.4      文档结构

2.... 安全测试与考试概述

2.1      信息安全评估方法
2.2      技术评估技术
2.3      比较测试和考试
2.4      测试视点
2.4.1   外部和内部
2.4.2   显性和隐性

3.... 复习技巧

3.1      文档审查
3.2      日志审查
3.3      规则集审查
3.4      系统配置审查
3.5      网络嗅探
3.6      文件完整性检查
3.7      总结

4.... 靶标识别与分析技术

4.1      网络发现
4.2      网络端口和服务识别
4.3      漏洞扫描
4.4      无线扫描
4.4.1   无源无线扫描
4.4.2   主动无线扫描
4.4.3   无线设备位置跟踪
4.4.4   蓝牙扫描   
4.5      总结

5.... 目标漏洞验证技术

5.1      密码破解
5.2      渗透测试
5.2.1   渗透测试阶段
5.2.2   渗透测试组织工作
5.3      社会工程学
5.4      总结

6.... 安全评估规划

6.1      制定安全评估策略

6.2      确定优先级和计划评估

6.3      选择和自定义技术

6.4      评估物流

6.4.1   评估员选择和技能

6.4.2   位置选择   

6.4.3   技术工具和资源选择

6.5      评估计划制定

6.6      法律考虑

6.7      总结

7.... 安全评估执行

7.1      协调

7.2      评估

7.3      分析

7.4      数据处理

7.4.1   数据收集   

7.4.2   数据存储   

7.4.3   数据传输   

7.4.4   数据销毁   

8.... 测试后活动

8.1  缓解建议

8.2  报告

8.3  补救/缓解

1.   介绍

2.   后勤

3.   沟通策略

4.   目标系统/网络

5.   测试执行

6.   报告

7.   签名页


关注公众号,回复“河南等保1024”获取“SP 800-115机翻版


网络安全取证(一)定义和概念模型
网络安全取证(二)定义和概念模型之定义
网络安全取证(三)定义和概念模型之概念模型
网络安全取证(四)定义和概念模型之概念模型
网络安全取证(五)定义和概念模型之概念模型
网络安全取证(六)定义和概念模型之取证流程
网络安全取证(七)操作系统分析
网络安全取证(八)操作系统分析之存储取证
网络安全取证(九)操作系统分析之文件系统分析
网络安全取证(十)操作系统分析之存储取证
网络安全取证(十一)操作系统分析之块设备分析

原文始发于微信公众号(河南等级保护测评):渗透测试:信息安全测试和评估技术指南NIST SP 800-115

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年10月26日14:35:06
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   渗透测试:信息安全测试和评估技术指南NIST SP 800-115https://cn-sec.com/archives/1371835.html

发表评论

匿名网友 填写信息