隨著數(shù)據(jù)泄露的成本達(dá)到歷史最高水平，組織正在努力主動(dòng)識(shí)別網(wǎng)絡(luò)上的風(fēng)險(xiǎn)區(qū)域。使用滲透測(cè)試器進(jìn)行滲透測(cè)試正變得越來(lái)越普遍。為了保護(hù)自己，企業(yè)必須在黑客發(fā)現(xiàn)漏洞之前了解其風(fēng)險(xiǎn)區(qū)域。組織可以通過(guò)防范弱點(diǎn)或消除弱點(diǎn)來(lái)降低攻擊風(fēng)險(xiǎn)。
【資料圖】
IBM 2022 年數(shù)據(jù)泄露成本發(fā)現(xiàn)，每次數(shù)據(jù)泄露平均造成 435 萬(wàn)美元的損失，比 2020 年增長(zhǎng) 12.7%。對(duì)于許多企業(yè)而言，泄露正成為“何時(shí)”而非“如果”的命題。在參與該研究的組織中，83% 的組織經(jīng)歷過(guò)不止一次數(shù)據(jù)泄露——只有 17% 的組織表示這是他們的第一次。
因此，許多組織正在轉(zhuǎn)向滲透測(cè)試以提高整體安全性。
什么是滲透測(cè)試？在滲透測(cè)試期間，滲透測(cè)試人員通過(guò)嘗試闖入應(yīng)用程序或網(wǎng)絡(luò)來(lái)確定應(yīng)用程序或網(wǎng)絡(luò)的安全程度。滲透測(cè)試人員經(jīng)常使用黑盒測(cè)試，測(cè)試人員不知道底層基礎(chǔ)設(shè)施、應(yīng)用程序或代碼。該過(guò)程允許滲透測(cè)試人員從外部黑客的角度進(jìn)行測(cè)試，并使用自動(dòng)化流程來(lái)測(cè)試漏洞。
也可以使用其他形式的滲透測(cè)試。白盒滲透測(cè)試依賴于測(cè)試人員對(duì)基礎(chǔ)設(shè)施的了解，可以使用專門(mén)的工具快速測(cè)試安全性?；液袦y(cè)試混合了白盒和黑盒測(cè)試，因?yàn)闇y(cè)試人員使用個(gè)人對(duì)基礎(chǔ)設(shè)施的了解以及手動(dòng)和自動(dòng)工具來(lái)利用弱點(diǎn)。
滲透測(cè)試為公司帶來(lái)了很多好處，包括基礎(chǔ)設(shè)施知識(shí)和更少的錯(cuò)誤。雖然一些公司對(duì)初始價(jià)格猶豫不決，但該方法通過(guò)降低風(fēng)險(xiǎn)和違規(guī)可能性節(jié)省了大量成本。受合規(guī)指南監(jiān)管的公司通常將滲透測(cè)試作為其合規(guī)流程的一部分。
雖然滲透測(cè)試類似于道德黑客，但存在一些差異。滲透測(cè)試主要側(cè)重于破壞特定系統(tǒng)以接管環(huán)境。另一方面，道德黑客使用所有黑客技術(shù)。道德黑客通常不是公司員工，盡管有些公司聘請(qǐng)道德黑客作為全職員工。與漏洞賞金計(jì)劃有點(diǎn)相似，但它們更關(guān)注所有類型的漏洞，而不僅僅是破壞系統(tǒng)。由于漏洞賞金計(jì)劃對(duì)網(wǎng)絡(luò)安全社區(qū)開(kāi)放，因此外部黑客通常會(huì)參與，偶爾也會(huì)有內(nèi)部員工參與。
滲透測(cè)試員的職責(zé)作為承包商工作的滲透測(cè)試人員通常負(fù)責(zé)遵循由招聘機(jī)構(gòu)或組織設(shè)計(jì)的測(cè)試協(xié)議。全職滲透測(cè)試人員通常從一個(gè)目標(biāo)開(kāi)始，然后確定哪些工具和方法最能幫助他們實(shí)現(xiàn)目標(biāo)。完成測(cè)試后，滲透測(cè)試人員會(huì)編寫(xiě)詳細(xì)說(shuō)明結(jié)果的文檔，以幫助進(jìn)行安全更改。
除了技術(shù)技能外，滲透測(cè)試人員還需要良好的書(shū)面和口頭溝通技巧。滲透測(cè)試人員通常需要與 IT 部門(mén)協(xié)作，以幫助根據(jù)測(cè)試結(jié)果創(chuàng)建解決方案。由于現(xiàn)實(shí)世界中發(fā)生的攻擊類型和網(wǎng)絡(luò)罪犯使用的技術(shù)，滲透測(cè)試人員需要掌握網(wǎng)絡(luò)安全行業(yè)的最新趨勢(shì)。
追求滲透測(cè)試者的職業(yè)一些公司要求滲透測(cè)試人員擁有計(jì)算機(jī)科學(xué)學(xué)位或網(wǎng)絡(luò)安全證書(shū)。然而，許多其他人接受在職經(jīng)驗(yàn)——尤其是網(wǎng)絡(luò)安全行業(yè)的經(jīng)驗(yàn)。雖然有些公司可能需要學(xué)士學(xué)位，但其他公司會(huì)尋找擁有數(shù)字徽章或證書(shū)的候選人。
一些公司聘請(qǐng)內(nèi)部滲透測(cè)試人員，尤其是白盒滲透測(cè)試。但是，為特定項(xiàng)目聘用的合同滲透測(cè)試人員通常會(huì)進(jìn)行黑盒滲透測(cè)試，以確保他們事先不了解基礎(chǔ)設(shè)施。如果正在尋找滲透測(cè)試員的工作，請(qǐng)考慮同時(shí)尋找全職工作和合同工。
尋找全職工作的滲透測(cè)試人員通常會(huì)在希望確保其基礎(chǔ)設(shè)施安全的非技術(shù)公司找到工作。其他測(cè)試人員為為其他公司提供服務(wù)的網(wǎng)絡(luò)安全公司工作。隨著風(fēng)險(xiǎn)升級(jí)，IT 在網(wǎng)絡(luò)安全方面的支出不斷增加，對(duì)滲透測(cè)試人員的需求也可能會(huì)繼續(xù)攀升。
總的來(lái)說(shuō)，滲透測(cè)試對(duì)于技術(shù)工作者或想要進(jìn)入網(wǎng)絡(luò)安全領(lǐng)域的人來(lái)說(shuō)是一個(gè)很好的入門(mén)級(jí)職業(yè)。雖然需要一些技術(shù)知識(shí)，但許多工具和技術(shù)都是在工作中學(xué)習(xí)的。
標(biāo)簽：
