침투 테스트-수동 및 자동

수동 침투 테스트와 자동 침투 테스트는 모두 동일한 목적으로 수행됩니다. 그들 사이의 유일한 차이점은 수행 방식입니다. 이름에서 알 수 있듯이 수동 침투 테스트는 인간 (이 분야의 전문가)이 수행하고 자동화 된 침투 테스트는 기계 자체에서 수행합니다.

이 장은 두 용어의 개념, 차이점 및 적용 가능성을 배우는 데 도움이됩니다.

수동 침투 테스트 란 무엇입니까?

수동 침투 테스트는 인간이 수행하는 테스트입니다. 이러한 유형의 테스트에서 기계의 취약성과 위험은 전문 엔지니어가 테스트합니다.

일반적으로 테스트 엔지니어는 다음 방법을 수행합니다.

Data Collection− 데이터 수집은 테스트에 중요한 역할을합니다. 수동으로 데이터를 수집하거나 온라인에서 무료로 제공되는 도구 서비스 (웹 페이지 소스 코드 분석 기술 등)를 사용할 수 있습니다. 이러한 도구는 테이블 이름, DB 버전, 데이터베이스, 소프트웨어, 하드웨어 또는 다른 타사 플러그인 등과 같은 정보를 수집하는 데 도움이됩니다.
Vulnerability Assessment − 데이터가 수집되면 테스터가 보안 취약점을 식별하고 그에 따라 예방 조치를 취하는 데 도움이됩니다.
Actual Exploit − 이것은 전문 테스터가 대상 시스템에 공격을 시작하는 데 사용하는 일반적인 방법이며 마찬가지로 공격 위험을 줄입니다.
Report Preparation− 침투가 완료되면 테스터는 시스템에 대한 모든 것을 설명하는 최종 보고서를 준비합니다. 마지막으로 보고서를 분석하여 대상 시스템을 보호하기위한 수정 조치를 취합니다.

수동 침투 테스트는 일반적으로 다음 두 가지 방식으로 분류됩니다.

Focused Manual Penetration Testing− 특정 취약점과 위험을 테스트하는 데 집중된 방법입니다. 자동 침투 테스트는이 테스트를 수행 할 수 없습니다. 주어진 도메인 내에서 특정 애플리케이션 취약성을 조사하는 전문가 만이 수행합니다.
Comprehensive Manual Penetration Testing− 모든 종류의 위험과 취약성을 식별하기 위해 서로 연결된 전체 시스템의 테스트를 통해 이루어집니다. 그러나이 테스트의 기능은 위험이 낮은 여러 결함이 더 취약한 공격 시나리오를 가져올 수 있는지 조사하는 등 상황에 따라 다릅니다.

자동화 된 침투 테스트는 시스템의 취약성과 위험을 자동으로 테스트하는 훨씬 빠르고 효율적이며 쉽고 안정적입니다. 이 기술은 전문 엔지니어가 필요하지 않으며이 분야에 대한 지식이 가장 적은 사람이 실행할 수 있습니다.

자동 침투 테스트를위한 도구는 Nessus, Metasploit, OpenVAs, backtract (series 5) 등입니다. 이들은 침투 테스트의 효율성과 의미를 변경 한 매우 효율적인 도구입니다.

그러나 다음 표는 수동 및 자동 침투 테스트의 근본적인 차이점을 보여줍니다.

수동 침투 테스트	자동화 된 침투 테스트
테스트를 수행하려면 전문 엔지니어가 필요합니다.	학습자도 테스트를 실행할 수 있도록 자동화되어 있습니다.
테스트를 위해 다른 도구가 필요합니다.	통합 도구는 외부에서 필요한 모든 작업을 수행합니다.
이러한 유형의 테스트에서 결과는 테스트마다 다를 수 있습니다.	결과가 수정되었습니다.
이 테스트는 테스터가 메모리 정리를 기억해야합니다.	그렇지 않습니다.
철저하고 시간이 걸립니다.	더 효율적이고 빠릅니다.
전문가가 펜 테스트를하면 더 잘 분석 할 수 있고 해커가 생각할 수있는 것과 공격 할 수있는 위치를 생각할 수 있습니다. 따라서 그는 그에 따라 보안을 설정할 수 있습니다.	상황을 분석 할 수 없습니다.
요구 사항에 따라 전문가는 여러 테스트를 실행할 수 있습니다.	그럴 순 없어.
심각한 상태의 경우 더 신뢰할 수 있습니다.	그렇지 않습니다.