渗透测试

本文约需 2 分钟阅读

渗透测试 (Penetration Testing) 是指针对系统或网络，使用与真实攻击者相同的手法尝试入侵，从而发现并验证漏洞的安全测试方法。它也被简称为「pentest」，其最大的优点是能够发现纸面评估中无法找到的实战性漏洞。截至 2024 年，针对云环境和容器环境的渗透测试需求正在急剧增加。

现场使用案例

“在年度渗透测试中，发现了内部 VPN 的身份验证绕过问题。单独来看属于低风险的 3 处配置错误组合在一起，导致外部可以入侵内部网络。我们正根据测试报告，按优先级顺序推进修复。”

测试流程

测试的种类与手法

黑盒测试在没有系统内部信息的情况下从外部尝试攻击。白盒测试基于源代码和设计信息查找漏洞。灰盒测试介于两者之间，在掌握有限信息的情况下实施。密码破解、SQL 注入、XSS 等多种攻击手法都包含在测试中。渗透测试入门书 (Amazon)可用来学习这些手法。

具体的实施场景

常见的误解是「渗透测试与漏洞扫描相同」。漏洞扫描使用自动化工具检测已知漏洞，而渗透测试则由熟练的测试者组合多个漏洞实际尝试入侵。例如，单独来看属于低风险的漏洞，组合起来也可能导致管理员权限被夺取。测试费用因规模而异，对于 Web 应用程序而言，行情大约为 100 万至 500 万日元。测试结果会给出诸如「30% 的密码在 1 小时内被破解」这样的具体报告，有助于为安全改进确定优先级。

密码安全性的验证

渗透测试也将密码强度作为验证对象。它能证明弱密码会在几分钟内被攻破。而足够长的随机密码已被证实即使在渗透测试中也难以被攻破。安全诊断实践书 (Amazon)也可作为参考。