网络安全测试：定义和类型

向基于云的系统和移动应用的广泛转变增加了在线活动，但安全措施最初却落后了。这一差距导致数字犯罪激增，包括针对企业和个人的数据泄露、勒索软件攻击和网络钓鱼计划。

【代码静态分析、SCA、渗透测试、网络设备安全性评估系统、漏洞挖掘系统、Web 安全性评估系统、勒索软件破解系统。合作请后台私信工程师13381155803（微信同步）】

网络安全至关重要，因为它可以保护数字系统、网络和数据免受各种威胁，这些威胁可能对个人、企业和政府造成严重后果。

过去几年，我们使用数字世界的方式发生了巨大变化，尤其是自从疫情迫使我们改变工作、娱乐和互动方式（无论是个人生活还是工作中）以来。

对于企业而言，远程访问系统和数据已变得十分普遍，许多组织已将系统和数据迁移至云端。对于个人而言，随时随地通过移动设备使用社交媒体和企业应用程序已导致公共场所 WiFi 接入量激增。在许多情况下，网上购物也取代了去实体店购物。

不幸的是，网络活动的激增最初并没有带来企业和个人安全方面的相应增长。简而言之，数字犯罪大幅增加。在企业层面，数据库遭到袭击，以获取可用于日后盗窃的信息。DDoS 和勒索软件攻击被用来拒绝访问企业系统并损害其业务。个人则暴露于虚假的电子商务网站和网络钓鱼电子邮件。

我们每天都会读到勒索软件攻击和数据盗窃的新闻，这些都是由恶意或意外攻击造成的。最近，微软系统升级失败导致空中交通管制系统瘫痪，仅在美国就影响了 3,000 多个航班。

这就是我们需要网络安全的原因——保护企业和个人免受这些威胁。然而，无论网络安全环境有多完善，用户仍然可以通过点击电子邮件中的钓鱼链接或向虚假网站提供银行卡信息来规避网络安全。

一、什么是网络安全测试？

每天都会出现新的网络威胁。所有谨慎的企业都会将网络安全评估和更新作为其正常运营程序的一部分。与所有开发和实施程序一样，测试是该过程不可或缺的一部分。对网络安全平台的错误应用或错误修改和添加可能会对业务流程造成各种混乱。

二、网络安全测试的类型

网络威胁种类繁多，从基于网络的自动化威胁（越来越多地由人工智能机器人驱动）到黑客驱动的入侵和数据盗窃。因此，网络安全环境部署了一系列集成但功能独立的防御措施。每个防御措施都有自己的测试环境、测试程序和成功指标。测试可以在模拟、实时和操作日志审查中进行。

以下是一些网络安全测试的类型：

1.漏洞扫描

·此自动化流程通过扫描已知问题来识别系统、网络或应用程序中的漏洞。它提供了可能的风险的全面视图，例如过时的软件、错误配置或缺失的补丁。

·该测试可以在正在运行的操作系统上进行。

2.渗透测试（Pen Testing）

·渗透测试模拟现实世界的网络攻击，以评估系统、应用程序或网络的安全性。安全专家（即道德黑客）试图利用漏洞来确定攻击者如何获得未经授权的访问权限。

·再次强调，该测试可以在正在运行的操作系统上进行，但最好在测试造成的停机潜在影响不会影响生产时进行。

3.安全审计

·这些涉及对组织的安全政策、程序和控制进行全面审查，以确保它们符合行业标准或监管要求（例如 ISO 27001、HIPAA）。审计评估安全措施的整体有效性。

·这是一个持续的过程。每天都会出现新的威胁和漏洞，定期审核对于掌握最新情况至关重要。

4. 风险评估

·风险评估评估对组织资产的潜在威胁，并确定这些风险的可能性和影响。它有助于确定需要更强大安全措施的关键领域。

·同样，由于威胁的性质不断变化，这应该是一个持续的过程，对于大型网络来说是全天候的，对于小型网络来说是定期的。

5. 红队与蓝队测试

·红队测试：涉及模拟对抗团队（“红队”）的真实攻击以评估安全防御的有效性。

·蓝队测试：“蓝队”防御这些模拟攻击，并在演习期间和演习后发现安全态势中的漏洞。

·这主要通过识别 SQL 注入、跨站点脚本 (XSS) 和其他常见的基于 Web 的威胁等漏洞来测试 Web 应用程序的安全性。通常使用 OWASP ZAP 或 Burp Suite 等工具。

6.网络安全测试

·网络安全测试通过识别薄弱环节（如不安全的接入点、不良配置或暴露的端口）来评估网络的安全性。它包括端口扫描、防火墙测试和入侵检测系统 (IDS) 检查等技术。

7.社会工程测试

·这涉及通过模拟网络钓鱼攻击、鱼叉式网络钓鱼或借口来测试人类的弱点，以评估员工对社会工程策略的反应程度。

8. 无线安全测试

·该部分主要关注无线网络的安全，评估与 WiFi 安全、加密和接入点相关的风险。

9.移动应用程序安全测试

·与 Web 应用程序测试类似，这主要侧重于识别移动应用程序中的漏洞，确保敏感数据免受未经授权的访问或数据泄露等威胁。

10.物理安全测试

·此类测试涉及评估物理设备、数据中心和基础设施的安全性，以确保访问控制机制、监视和其他物理安全措施有效。

每种类型的测试都为组织的安全性提供了独特的见解，并有助于创建更强大、更有弹性的网络安全框架。

三、网络安全测试的关键技术和方法

正如我们所见，网络威胁种类繁多。这意味着必须有多种多样的网络安全工具来阻止这些威胁。反过来，这也意味着需要进行多种多样的网络安全测试，以确保这些工具有效并且不会影响正常的业务运营。

ISECOM是一家开源组织，它开发了一本涵盖网络安全测试的综合手册。他们是这样描述自己的：“早在 2001 年 1 月，安全与开放方法研究所 (ISECOM) 就开始免费发布《开源安全测试方法手册》(OSSTMM)。此举旨在极大地改善安全性的测试、分析和实施方式。许多来自不同领域的研究人员贡献了自己的经验和知识，因为他们看到了这种开放方法的必要性，这种方法以事实为依据，而不是商业利益或政治议程。”

让我们详细了解一些方法：

3.1静态分析

网络安全测试中的静态分析是指在不执行应用程序源代码、二进制文件或字节码的情况下对其进行检查的过程。组织主要使用它来在开发阶段识别应用程序中的安全漏洞、编码错误和潜在弱点。此方法可确保在代码部署之前的软件开发生命周期 (SDLC) 早期发现问题。

·及早发现安全漏洞

o静态分析可以在代码运行或部署之前识别其中的安全问题，从而可以节省在开发过程后期修复漏洞所需的时间和成本。

o检测到的常见漏洞包括缓冲区溢出、SQL 注入、跨站点脚本 (XSS)、不安全的编码实践和未处理的异常。

·自动和手动分析

o自动化工具：静态分析通常使用专门的工具来自动扫描代码以检测漏洞和是否符合安全标准。

o人工审查：在某些情况下，安全专家会人工审查代码，以发现自动化工具可能遗漏的逻辑缺陷和复杂漏洞。

·全面覆盖

o组织可以将静态分析应用于各种编程语言和平台，包括 Web 应用程序、移动应用程序和嵌入式系统。

o它有助于解决各种潜在的安全漏洞，从不良的输入验证到不足的错误处理。

·集成到 DevOps (DevSecOps)

o静态分析工具可以集成到持续集成/持续交付（CI/CD）管道中，从而更容易在开发过程中自动测试和识别漏洞。

·早期问题检测：在开发的早期阶段识别安全漏洞可减少解决问题所需的成本和精力。

·自动化：自动化工具可以快速分析大型代码库，使流程高效且可扩展。

·提高代码质量：除了安全漏洞之外，静态分析还有助于检测一般的代码质量问题，例如死代码、无法访问的语句和未优化的逻辑。

·符合安全标准：通过运行静态分析，组织可以确保其应用程序符合行业标准（例如 OWASP Top 10、SANS/CWE Top 25）。

·误报：静态分析工具可能会产生误报，即错误地将安全代码标记为易受攻击。这可能会导致花费额外的时间来调查无关紧要的问题。

·覆盖范围有限：虽然静态分析非常适合识别常见的安全漏洞，但它可能会错过更复杂、与上下文相关的问题。

·没有真实场景：由于静态分析不涉及运行代码，因此它无法检测运行时漏洞，例如由特定于环境的配置或依赖项导致的漏洞。没有真实场景：由于静态分析不涉及运行代码，因此它无法检测运行时漏洞，例如由特定于环境的配置或依赖项引起的漏洞。

静态测试的主要限制就是它是静态的。它不在可能发生攻击的真实环境中进行测试。这就是动态测试（或测试正在运行的系统）发挥作用的地方。

3.2动态分析

网络安全测试中的动态分析是指在应用程序或系统运行时对其进行分析以识别仅在执行期间才可检测到的漏洞和弱点的过程。与不执行代码而审查代码的静态分析不同，动态分析涉及与实时环境交互以测试应用程序在实际条件下的行为。这使得它对于检测由于输入、数据流、内存或特定于环境的配置处理不当而发生的运行时漏洞至关重要。

1. 运行时行为测试

·动态分析评估应用程序如何响应实时数据和输入，帮助识别 SQL 注入、跨站点脚本 (XSS)、身份验证缺陷和会话管理问题等漏洞。

·测试揭示了系统在正常或异常情况下的表现，包括错误处理、数据验证和资源管理。

2.黑盒测试：

·在许多情况下，动态分析可以作为黑盒测试执行，测试人员对应用程序的内部工作一无所知。这模拟了外部攻击者如何与系统交互以利用漏洞。

3. 全面的漏洞检测

·动态分析对于查找依赖于代码如何与环境交互的漏洞特别有效，例如：

·输入验证问题，用户输入未得到正确清理，导致 SQL 注入等攻击。

·内存管理错误，例如缓冲区溢出或内存泄漏。

·身份验证和授权缺陷，即用户角色和访问控制未正确实施。

·会话管理问题，例如会话劫持或不当会话过期。

3.3动态分析的常用技术

·含义：向应用程序提供意外或随机输入（模糊测试），以查看其如何处理错误和崩溃。目标是发现由于输入处理不当而产生的错误和漏洞。

·目的：识别输入验证问题、缓冲区溢出以及由意外数据导致的其他漏洞。

·使用的技术：

o随机数据被注入到应用程序的输入字段中。

o监视系统的行为以检查它是否崩溃、引发异常或产生意外结果。

·用途：扫描实时 Web 应用程序以检测执行过程中出现的漏洞。这可以包括测试登录表单、文件上传、URL 参数和其他输入点。

·目的：识别常见漏洞，如 XSS、SQL 注入、远程代码执行和不安全的会话管理。

·使用的技术：

o自动扫描程序通过与 Web 表单、URL 和 Cookie 交互来模拟用户行为，以检测应用程序如何响应恶意输入。

o手动测试通过关注业务逻辑缺陷或更复杂的场景来补充自动扫描。

·它是什么：测试应用程序是否存在与内存管理和资源处理相关的漏洞，例如内存泄漏或不正确的内存释放。

·目的：确保应用程序不会遭受缓冲区溢出、释放后使用或竞争条件等问题，这些问题可能导致任意代码执行或拒绝服务 (DoS) 攻击。

·使用的技术：

o监控执行不同功能期间的内存分配和使用情况

o引入同时请求或输入来检查系统在负载下如何处理资源分配

·它是什么：监控应用程序的运行时错误，例如无效的数据输入、异常处理问题或对用户操作的不正确响应。

·目的：确保应用程序能够正常处理意外输入并避免诸如泄露堆栈跟踪、未处理的异常或系统崩溃等安全关键问题。

·使用的技术：

o模拟各种输入（有效和无效）来触发应用程序的不同部分并观察其错误处理机制

o注入故障以了解系统如何处理故障或异常情况

·它是什么：在应用程序执行期间捕获和分析客户端和服务器之间的网络流量。

·目的：检测与数据传输相关的漏洞，例如中间人 (MITM) 攻击、未加密的数据传输或加密协议的不当使用。

·使用的技术：

o监控网络流量中以明文传输的敏感数据（例如用户名、密码、信用卡详细信息）

o识别 SSL/TLS 通信中加密算法的弱点或证书的不当使用

·它是什么：一种结合了静态和动态分析优点的混合方法。它在运行时监视应用程序，但使用代码结构中的见解来识别更深层次的漏洞。

·目的：通过将代码级问题与运行时行为关联起来，提供更详细的漏洞视图，从而更容易发现逻辑缺陷或复杂的安全问题。

·使用的技术：

o检测：应用程序配备代理，可实时分析代码执行路径、数据流和用户交互。

·它是什么：测试应用程序的登录和访问控制机制，以确保它们执行正确的身份验证和授权策略。

·目的：验证只有授权用户才能访问受限资源，并确保会话管理是安全的。

·使用的技术：

o测试弱密码策略、会话固定和不安全的密码恢复机制

o模拟权限提升攻击，确保用户无法在未经适当授权的情况下访问更高权限的资源

·真实世界测试：动态分析可以更准确地评估安全漏洞，因为它在真实条件下测试系统。这包括与外部用户、系统和环境的交互。

·检测运行时漏洞：许多漏洞仅在运行时才会显现出来，例如内存管理问题、输入验证问题和不当的错误处理。

·对应用程序行为的即时反馈：动态分析可以深入了解应用程序在面对恶意输入或意外用户行为时的行为，从而可以快速检测到缺陷。

·改善安全态势：它有助于识别攻击者可能利用的漏洞，从而允许组织在这些问题成为风险之前修复它们。

·误报和漏报：动态分析工具有时会产生误报（将非问题标记为漏洞）或漏报（遗漏实际漏洞）。

·需要运行系统：应用程序或系统必须完全运行才能进行动态分析，这意味着在开发的早期阶段可能无法检测到漏洞。

·耗时：由于涉及与实时系统的交互，动态分析可能比静态分析花费更长的时间，尤其是在测试大型应用程序或具有复杂功能的系统时。

·仅限于运行时问题：除非与静态分析技术相结合，否则动态分析可能无法识别底层代码本身的漏洞。

四、网络安全测试的好处

网络安全测试的最大好处是，通过先进行测试，您不会因误用或不正确的网络安全工具而影响正常的业务运营。这也意味着您不会因为实施了不起作用的网络安全程序或工具而陷入虚假的安全感。

五、网络安全最佳实践

组织需要研究网络安全最佳实践，以确保免受网络威胁。您可以在云中找到有关最佳实践的信息，但这是一个广泛的领域，并且不断变化和扩展。SentinelOne 有一个最佳实践列表，并在其资源中心提供了对该领域的更广泛了解。

考虑到网络安全固有的挑战和问题，以下是一些重要的网络安全最佳实践：

1.使用强大且独特的密码。

2.启用多重身份验证 (MFA)。

3.保持软件更新。

4.在桌面和公司服务器上安装防病毒、反间谍软件和反恶意软件。

5.使用防火墙。

6.安全的 WiFi 网络。

7.定期备份数据。

8.教育和培训员工。

9.养成良好的电子邮件卫生习惯。

10.加密敏感数据。

11.限制用户权限。

12.监控并记录活动。

13.保护移动设备。

14.实施物理安全。

15.制定事件响应计划。

六、法律和道德考虑

测试组织网络防御能力的机会也为实施网络盗窃提供了机会。进行测试的个人必须了解其行为的法律和道德原则。塔尔萨大学发表了一篇关于这一主题的论文。总之，重点包括：

·尊重他人

·确保正义

·尊重法律和公共利益

这显然意味着要了解有关网络安全的法律框架和法规、道德黑客原则以及负责任的披露。

网络安全法律框架为保护信息系统和

保护数据免受网络威胁。这些框架包括政府、国际组织和行业机构制定的法律、法规、指南和标准。它们旨在保护数据隐私、保护网络，并确保遵守网络安全实践，以减轻网络犯罪和数据泄露的影响。

6.1共同法律框架

经常遇到的法律框架包括：

·通用数据保护条例 (GDPR)（欧洲）—GDPR 是欧盟 (EU) 执行的最全面的数据隐私法之一。它规定了组织如何收集、存储和处理欧盟公民的个人数据。

·NIST 网络安全框架（美国）——该框架由美国国家标准与技术研究所 (NIST) 开发，为组织管理和降低网络安全风险提供自愿指导。

·网络安全信息共享法案 (CISA)（美国）——CISA 于 2015 年通过，促进联邦政府和私营公司之间共享网络威胁信息，以加强国家网络安全防御。《网络安全信息共享法》（Cybersecurity Information Sharing Act，CISA）于2015年通过，旨在促进联邦政府和私营公司之间的网络威胁信息共享，以改善国家网络安全防御。

·健康保险流通与责任法案 (HIPAA) (美国) — HIPAA 是一项为保护医疗保健行业的敏感患者数据制定标准的法律。健康保险流通与责任法案（Health Insurance Portability and Accountability Act，HIPAA）是一项为保护医疗保健行业的敏感患者数据设定标准的法律。

·2015 年网络安全法案（美国）——一项联邦法律，旨在促进政府与私营部门之间的网络安全信息共享，以加强对网络威胁的防御。2015年网络安全法案（美国）-一项联邦法律，旨在促进政府和私营部门之间的网络安全信息共享，以加强对网络威胁的防御。

·支付卡行业数据安全标准 (PCI DSS) (全球)——一套旨在确保所有处理信用卡信息的公司维护安全环境的安全标准。

·欧盟网络和信息安全 (NIS) 指令——NIS 指令旨在提高关键基础设施运营商和数字服务提供商的网络安全。

·ISO/IEC 27001（全球）——ISO/IEC 27001 是一项国际标准，为信息安全管理系统 (ISMS) 提供了框架。

七、网络安全测试中的常见挑战

尽管多年来仍然存在许多挑战，但向远程访问和基于云的系统以及混合和在家办公环境的转变给数据和系统安全带来了新的挑战。

永恒的挑战依然存在：

·成本和专业知识方面的资源限制。大型和小型组织在部署网络安全资源方面都有限制。例如，大型组织可能有专门负责网络安全的人员，但小型组织更有可能拥有兼职或外包资源。大型组织更有可能负担得起硬件和软件。

·应对新威胁。如前所述，网络安全是一场流动的盛宴。新威胁似乎每天都在出现，需要新的意识和新的对策。这需要资源和新知识，而这些可能并不容易获得。

·平衡安全性和可用性。使系统完全安全是可以实现的，但这样做可能会使其无法使用。根据可能性和效果对威胁进行分类并分配对策可以平衡安全性和可用性。

·了解真实威胁和想象威胁（误报和漏报）之间的区别。这是一项艰巨的挑战，需要不断更新知识。

八、概括

网络威胁不断演变。使用适当的工具、政策和程序建立稳固的网络防御是保护敏感信息和防止业务中断的关键。保持警惕至关重要。

请记住，在数字领域，您的行动对于加强针对网络对手的集体防御起着至关重要的作用。保持知情、保持安全，让我们建立一个能够抵御网络威胁的数字世界。

九、常见问题

1. 网络犯罪有哪些类型？

一些常见的网络犯罪类型包括黑客攻击、网络钓鱼、勒索软件、身份盗窃、金融欺诈、分布式拒绝服务攻击、恶意软件和网络间谍活动。

2. 网络安全起什么作用？

任何网络安全平台的具体目标包括：

·保护敏感数据。

·防止财务损失。

·保持业务连续性。

·保护声誉。

·防止未经授权的访问。

·确保遵守法规。

·防御不断演变的威胁。

·保护知识产权。

·支持国家安全。

·防范内部威胁。

从本质上讲，网络安全对于确保数字世界的安全、完整性和保密性至关重要，可以防止对个人和整个社会造成伤害。随着在线资源的使用增加，保持强大的网络防御的重要性也随之增加。

原文始发于微信公众号（StaticCodeAnalysis）：网络安全测试：定义和类型