침투 테스트-제한 사항

정보 및 기술 분야의 빠른 발전 속도로 인해 침투 테스트의 성공 사례는 비교적 짧습니다. 시스템에 대한 더 많은 보호가 필요하기 때문에, 회사가 인정하는 수준으로 성공적인 공격 가능성을 줄이기 위해 침투 테스트를 수행하는 것보다 더 자주 수행해야합니다.

다음은 침투 테스트의 주요 제한 사항입니다.

• Limitation of Time− 우리 모두가 알고 있듯이, 침투 테스트는 항상 제한적인 연습이 아닙니다. 그럼에도 불구하고 침투 테스트 전문가들은 각 테스트에 대해 고정 된 시간을 할당했습니다. 반면 공격자는 시간 제약이 없으며 일주일, 한 달 또는 몇 년 안에 계획을 세웁니다.

• Limitation of Scope − 많은 조직이 리소스 제약, 보안 제약, 예산 제약 등을 포함한 자체 제약으로 인해 모든 것을 테스트하지 않습니다. 마찬가지로 테스터는 범위가 제한되어 있으며 훨씬 더 많은 시스템 부분을 남겨야합니다. 취약하고 공격자에게 완벽한 틈새 시장이 될 수 있습니다.

• Limitation on Access− 테스터가 대상 환경에 대한 액세스를 제한하는 경우가 더 많습니다. 예를 들어 회사가 모든 인터넷 네트워크에서 DMZ 시스템에 대한 침투 테스트를 수행 한 경우 공격자가 일반 인터넷 게이트웨이를 통해 공격하면 어떻게 될까요?

• Limitation of Methods− 침투 테스트 중에 대상 시스템이 충돌 할 가능성이 있으므로 특정 공격 방법 중 일부는 전문 침투 테스터를 위해 테이블에서 제외 될 수 있습니다. 예를 들어, 시스템 또는 네트워크 관리자를 다른 공격 방법으로부터 우회시키기 위해 서비스 거부 플러드를 생성합니다. 일반적으로 정말 나쁜 사람에게는 이상적인 전술이지만 대부분의 전문 침투 테스터의 참여 규칙을 벗어날 가능성이 높습니다. .

• Limitation of Skill-sets of a Penetration Tester− 일반적으로 전문 침투 테스터는 전문 지식과 과거 경험에 관계없이 기술이 제한되어 있기 때문에 제한됩니다. 그들 대부분은 특정 기술에 초점을 맞추고 다른 분야에 대한 지식이 거의 없습니다.

• Limitation of Known Exploits− 많은 테스터는 공개 된 익스플로잇 만 알고 있습니다. 사실, 그들의 상상력은 공격자만큼 발달되지 않았습니다. 공격자는 일반적으로 테스터의 생각을 훨씬 넘어서서 공격 할 결함을 발견합니다.

• Limitation to Experiment− 대부분의 테스터는 시간 제한이 있으며 조직이나 선배가 이미 제공 한 지침을 따릅니다. 그들은 새로운 것을 시도하지 않습니다. 그들은 주어진 지시 이상으로 생각하지 않습니다. 반면에 공격자는 자유롭게 생각하고 실험하고 새로운 공격 경로를 만들 수 있습니다.

또한 침투 테스트는 일상적인 IT 보안 테스트를 대체 할 수 없으며 일반적인 보안 정책을 대체 할 수도 없습니다. 오히려 침투 테스트는 기존 검토 절차를 보완하고 새로운 위협을 발견합니다.