침투 테스트-테스터

조직의 가장 중요한 데이터를 보호하는 문제가 있습니다. 따라서 침투 테스터의 역할은 매우 중요하며 사소한 오류로 인해 당사자 (테스터와 그의 클라이언트)가 위험에 처할 수 있습니다.

따라서이 장에서는 자격, 경험 및 책임을 포함하여 침투 테스터의 다양한 측면에 대해 설명합니다.

침투 테스터의 자격

이 테스트는 자격을 갖춘 침투 테스터 만 수행 할 수 있습니다. 따라서 침투 테스터의 자격이 매우 중요합니다.

자격을 갖춘 내부 전문가 또는 자격을 갖춘 외부 전문가가 조직적으로 독립 될 때까지 침투 테스트를 수행 할 수 있습니다. 이는 침투 테스터가 대상 시스템의 관리로부터 조직적으로 독립적이어야 함을 의미합니다. 예를 들어, 타사 회사가 대상 시스템의 설치, 유지 관리 또는 지원에 관여하는 경우 해당 당사자는 침투 테스트를 수행 할 수 없습니다.

침투 테스터를 부르는 동안 도움이 될 몇 가지 지침이 있습니다.

인증

인증 된 사람이 침투 테스트를 수행 할 수 있습니다. 테스터가 보유한 인증은 그의 기술 세트와 유능한 침투 테스터의 능력을 나타냅니다.

다음은 침투 테스트 인증의 중요한 예입니다.

  • CEH (Certified Ethical Hacker).

  • OSCP (Offensive Security Certified Professional).

  • CREST 침투 테스트 인증.

  • CESG (통신 전자 보안 그룹) IT Health Check Service 인증.

  • GIAC (Global Information Assurance Certification) 인증 (예 : GIAC Certified Penetration Tester (GPEN), GIAC Web Application Penetration Tester (GWAPT), Advance Penetration Tester (GXPN) 및 GIAC Exploit Researcher).

과거의 경험

다음 질문은 효과적인 침투 테스터를 고용하는 데 도움이됩니다.

  • 침투 테스터는 몇 년의 경험을 가지고 있습니까?

  • 그는 독립적 인 침투 테스터이거나 조직에서 일하고 있습니까?

  • 침투 테스터로 일한 회사는 몇 개입니까?

  • 그는 당신과 비슷한 규모와 범위를 가진 조직에 대해 침투 테스트를 수행 했습니까?

  • 침투 테스터는 어떤 유형의 경험을 가지고 있습니까? 예를 들어, 네트워크 계층 침투 테스트 수행 등

  • 그가 일한 다른 고객에게 참조를 요청할 수도 있습니다.

침투 테스터를 고용 할 때 대상 환경 내에서 특별히 배포 한 기술과 관련하여 자신 (테스터)이 근무한 조직의 작년 테스트 경험을 평가하는 것이 중요합니다.

위의 것 외에도 복잡한 상황과 일반적인 클라이언트 요구 사항의 경우 이전 프로젝트에서 유사한 환경을 처리하는 테스터의 능력을 평가하는 것이 좋습니다.

침투 테스터의 역할

침투 테스터의 역할은 다음과 같습니다.

  • 도구 및 기술의 비효율적 인 할당을 식별합니다.

  • 내부 보안 시스템을 통한 테스트.

  • 노출을 정확히 파악하여 가장 중요한 데이터를 보호합니다.

  • 인프라 전체의 취약성과 위험에 대한 귀중한 지식을 발견하십시오.

  • 수정 권장 사항을보고하고 우선 순위를 지정하여 보안 팀이 가장 큰 보안 허점을 보호하면서 가장 효과적인 방법으로 시간을 활용하도록합니다.