什么是漏洞扫描和渗透测试？

软件安全至关重要。允许该软件访问互联网，并且对安全性的要求以难以想象的数量级增加。成功保护软件及其资产需要多方面的方法，包括（但不限于）漏洞扫描和渗透测试。这些术语在 IT 行业中经常被混淆，这是有充分理由的。渗透测试和漏洞扫描相互混淆。

漏洞评估和扫描搜索系统和配置文件以查找您所期望的：漏洞。Where-as 渗透测试测试积极试图削弱环境的威胁。两者之间的一个关键区别是漏洞扫描可以自动化，其中渗透测试需要不同级别的专业知识。

所有网络，无论规模大小，都可能面临威胁。彻底监控和测试网络的安全问题可以让您消除威胁并降低整体风险。基于假设而不是数据驱动的测试相信您的网络是安全的，这将始终提供一种错误的安全感，并可能导致灾难性的结果。

什么是漏洞扫描？

漏洞扫描是用于评估其他软件、网络操作或应用程序的软件的术语。该漏洞测试软件将扫描代码或结构中的潜在弱点。就像制造工程师监控他/她的产品的结构完整性一样，漏洞测试也是如此，寻找薄弱点或不良结构。扫描识别系统可能受到攻击的区域。

有两种类型的扫描：已验证和未验证。不同之处在于，经过身份验证的扫描允许使用远程协议（如安全外壳 (SSH) 或远程桌面协议 (RDP)）直接访问网络。未经身份验证的扫描只能检查公开可见的信息，并且无法提供有关资产的详细信息。这种类型的扫描通常由试图确定网络安全状况的安全分析师使用。

现代扫描软件通常由构建基于 Web 的界面应用程序的特定提供商以软件即服务 (SaaS) 的形式提供。这些应用程序能够扫描已安装的软件、打开端口、验证证书等等。

扫描程序依赖于已发布和定期更新的已知漏洞列表，这些漏洞可用于广泛使用的软件。漏洞不会出现在列表中，直到有一个显着的修复（这可能会给零日攻击造成困难）。当软件检测到异常时，会提供补丁。该软件旨在通过查询软件的版本信息并观察软件对特定请求提供的响应来检测问题。

漏洞按优先级分类。严重漏洞表明攻击者极有可能利用弱点并造成损害。较低优先级的威胁可能会帮助入侵者收集信息，但不会直接允许入侵。互联网安全中心 (CIS)将持续漏洞扫描视为有效网络防御的关键要求。

什么是渗透测试？

与漏洞扫描相比，渗透测试（也称为“渗透测试”）是一种授权攻击，在计算机系统上模拟，旨在评估系统的安全性。运行测试以识别弱点（漏洞），例如访问系统功能或数据的能力。它还编制了整个系统的风险评估。渗透测试可以帮助确定系统是否容易受到攻击，当前的防御系统是否足够，如果没有，哪些防御被击败。渗透测试可以针对应用程序中的已知漏洞或许多应用程序中出现的常见模式。它不仅可以发现软件缺陷，还可以发现应用程序和网络配置中的弱点。

渗透测试通常有五个阶段：

1. 侦察——收集目标系统的信息。
2. 扫描——渗透测试工具，用于加深攻击者对系统的了解。
3. 获得访问权限——利用之前收集的数据，攻击者可以针对系统中的漏洞进行攻击。
4. 维护访问——采取措施保持在目标环境中以收集尽可能多的数据。
5. 覆盖痕迹——攻击者必须从系统中清除所有攻击痕迹，包括收集的任何类型的数据或记录的事件，以保持匿名。

“模糊”数据包是一种流行的技术。这些是对应用程序的合法请求，其中一个或几个字符随机更改。他们锻炼了系统干净地处理错误输入的能力。

与漏洞扫描一样，测试可以经过身份验证或未经身份验证。经过身份验证的测试在内部网络上以注册和登录用户身份运行，而未经身份验证的测试来自没有网络权限的外部源。

在某些情况下，测试不仅仅是发送和接收数据，而是检查组织的业务流程。如果它在他们指定的范围内，测试人员可能会发送网络钓鱼消息来测试用户捕获欺诈请求的能力。他们甚至可能试图潜入设施以测试物理安全性。

安全专家将渗透测试归类为“白盒”或“黑盒”。白盒测试尽可能多地使用有关目标系统的信息。这包括它运行的软件、网络架构，有时甚至是源代码。黑盒测试仅使用公开可用的信息。

原则上，白盒测试应该发现更多问题，因为它有更多信息要继续。然而，渗透测试人员很容易变得依赖于他们对系统的了解，而不是充分发挥他们的想象力。黑盒测试人员从与外部入侵者相同的位置开始，必须在没有帮助的情况下找到弱点。他们可能会设计出白盒测试人员没有想到的方法。两种方法都有其优点和缺点。

笔测试不是单一的安全解决方案，而是全面安全审计的一个组成部分。例如，为了保持 PCI 合规性，支付卡行业数据安全标准要求定期进行安全渗透测试，尤其是在系统更改之后。

了解安全测试报告

两种测试的可交付成果是关于发现的任何问题的详细报告。漏洞报告很长但很简单。对于每个问题，报告都会列出来源、严重性等级、描述和补救措施。典型的补救措施是安装补丁。如果该软件有弱点并且其发布者不再维护它，则可能需要用更安全的东西替换它。信息安全人员需要对列表进行详细的分类，消除或推迟漏洞带来的风险很小或没有风险的行动。

渗透测试的报告将列出更少的项目，但它们并不那么容易解释和补救。它将描述攻击技术，这通常是模棱两可的。它将解释潜在的影响。补救措施可能很简单，例如限制访问。在其他情况下，提出修复可能需要认真分析。一份强有力的报告将把结果放在上下文中，并为补救提供详细的建议。

渗透测试和漏洞扫描过程的区别

运行渗透测试被认为比漏洞扫描更具挑战性或至少涉及。渗透测试试图闯入安全系统。如果系统有足够的防御，这将触发警报。尽管管理员需要知道测试和真正威胁之间的区别，但他们不能放松警惕，防范可能同时发生的可信攻击。理想情况下，渗透测试应该每年运行一次，而漏洞测试应该连续运行。

渗透测试需要比漏洞扫描更多的创造力，因为它正在寻找利用普通业务过程的方法。例如，CEO 可以使用与内部 LDAP 相同的密码将他或她的密码传输到他们的网络邮箱。要在测试中提出新的策略，您需要与有创造力但在技术上能够执行攻击的人合作。

漏洞扫描是维护信息和网络安全的重要过程。部署的每一个新添加的设备或软件都应该在之后的一个月内对其进行漏洞扫描。建立定期更新和维护的基本设备基线至关重要。扫描后发现的任何开放端口或更改都应进行调查并视为严重。

漏洞扫描和渗透测试是必不可少的

为了确保网络具有详细且受到良好保护的安全级别，必须采取详细的步骤来进行漏洞扫描和渗透测试。探测漏洞会发现未打补丁且维护不善的软件。它会提示 IT 人员升级遇到问题或潜在弱点的软件。如果这不可能，团队需要找到解决方法或更换软件。扫描不会发现所有问题。确定系统是否安全的最可靠方法是尝试破坏它。这不仅会发现软件缺陷，还会发现不安全的连接、配置漏洞和暴露的数据。漏洞扫描和渗透测试是用于监控和改进信息安全计划的强大网络安全工具。