iT邦幫忙

第 11 屆 iT 邦幫忙鐵人賽

DAY 1
1

在 Penetration Testing 開始前,我們要先了解每種 PT 進行的模式、成本及完整度都有所不同,以下主要區分為三大類來說明:

  1. Black-box(黑箱)
    1.1 定義:不提供測試人員關於受測環境的資訊,僅讓測試人員知道公司名稱。
    1.2 模擬情境:外部攻擊行為 & 駭客攻擊行為
    1.3 分類:
    (1) Blind Testing => 目的在於測試安全等級是否足夠。(資安長和資訊長了解測試的範圍和時間)
    (2) Double-Blind Testing => 目的在於測試內部人員對於資安事件的監控、識別、反應及通報程序。(資安長 知道且了解測試的範圍和時間,但資訊長不知情。)
    1.4 成本(三者比較):中
    1.5 完整度(三者比較):較不完整
  2. White-box(白箱)
    2.1 定義:測試人員對於受測環境有完整的知識。
    2.2 模擬情境:內部攻擊行為
    2.3 分類:
    (1) Announced Testing => 測試人員在IT的協助下嘗試入侵,目的在於檢驗資安架構和可能存在的弱點。
    (2) Unannounced Testing =>只有高階主管知道測試的時間和範圍。測試人員在沒有IT協助的情況下嘗試入侵, 目的在於檢驗資安架構和IT人員對於事件的反應。
    2.4 成本(三者比較):高
    2.5 完整度(三者比較):最完整
  3. Gray-box(灰箱)
    3.1 定義:整合黑箱及白箱的測試方式,對於受測試環境所知有限,針對應用程式的弱點進行可能發生的攻擊行為 測試。
    3.2 模擬情境:內部攻擊行為
    3.3 分類:無
    3.4 成本(三者比較):低
    3.5 完整度(三者比較):中等

想自己在實作 PT 難不難? 說實話,難也不難,有了基本的網路、系統和程式觀念,再加上熟悉現成的工具以及毅力搭配耐力~

接下來幾天,我會利用 Windows 和 Kali 平台實作幾項常用的 PT 方式。


下一篇
[鐵人修煉_2]-準備Kali &偵查
系列文
一起來霹踢30

尚未有邦友留言

立即登入留言