滲透測(cè)試是指測(cè)試人員盡可能完整地模擬攻擊者使用的漏洞發(fā)現(xiàn)技術(shù)和攻擊手段,從攻擊者的角度對(duì)目標(biāo)網(wǎng)絡(luò)、系統(tǒng)、主機(jī)應(yīng)用的安全性作深入的非破壞性的探測(cè), 發(fā)現(xiàn)系統(tǒng)最脆弱環(huán)節(jié)的過程。滲透測(cè)試通常能以非常明顯、直觀的結(jié)果來(lái)反映出系統(tǒng)的安全現(xiàn)狀,其目的是能夠讓管理人員直觀地知道自己網(wǎng)絡(luò)所面臨的問題。
通過滲透測(cè)試可以做到:
1、了解入侵者可能利用的途徑,提出改進(jìn)方法與建議。
2、 檢驗(yàn)現(xiàn)行的網(wǎng)絡(luò)設(shè)備(路由器、交換器等)安全策略。
3、 檢驗(yàn)現(xiàn)行的信息安全設(shè)備(防火墻、IDS等)安全策略。
4、 對(duì)于重要主機(jī)的安全性進(jìn)行專業(yè)信息安全的評(píng)估與建議。
5、 找出IT人員未能掌握的服務(wù)器或主機(jī)加以調(diào)查。
6、 了解系統(tǒng)及網(wǎng)絡(luò)的安全狀態(tài)。
7、 檢驗(yàn)現(xiàn)行的信息安全策略。
8、 找出現(xiàn)行信息安全策略的盲點(diǎn)。
9、 驗(yàn)證現(xiàn)有系統(tǒng)的整體安全性。
滲透測(cè)試為了不對(duì)測(cè)試目標(biāo)造成破壞、損害或篡改,對(duì)于某些可能會(huì)對(duì)測(cè)試對(duì)象造成負(fù)面影響的攻擊方法和手段,在滲透測(cè)試中不予使用,具體包括:社會(huì)工程學(xué)、分布式拒絕服務(wù)攻擊、散布病毒(包括木馬、惡意代碼等)、對(duì)即時(shí)通訊工具的攻擊、網(wǎng)絡(luò)釣魚等。