Kiểm tra thâm nhập - Hạn chế
Do tốc độ phát triển nhanh chóng trong lĩnh vực thông tin và công nghệ, câu chuyện thành công của thử nghiệm thâm nhập tương đối ngắn ngủi. Vì yêu cầu bảo vệ hệ thống nhiều hơn, nên thường xuyên hơn bạn cần thực hiện kiểm tra thâm nhập để giảm khả năng tấn công thành công xuống mức được công ty đánh giá cao.
Sau đây là những hạn chế chính của Kiểm tra thâm nhập -
Limitation of Time- Như tất cả chúng ta đều biết, thử nghiệm thâm nhập không phải là bài tập bị ràng buộc về thời gian; tuy nhiên, các chuyên gia của thử nghiệm thâm nhập đã phân bổ một lượng thời gian cố định cho mỗi thử nghiệm. Mặt khác, những kẻ tấn công không bị ràng buộc về thời gian, chúng lên kế hoạch trong một tuần, một tháng hoặc thậm chí nhiều năm.
Limitation of Scope - Nhiều tổ chức không kiểm tra mọi thứ vì những hạn chế của chính họ, bao gồm hạn chế về tài nguyên, ràng buộc về bảo mật, ràng buộc về ngân sách, v.v. Tương tự như vậy, người thử nghiệm có phạm vi hạn chế và anh ta phải rời khỏi nhiều phần của hệ thống có thể nhiều hơn dễ bị tổn thương và có thể là một nơi thích hợp hoàn hảo cho kẻ tấn công.
Limitation on Access- Người kiểm tra thường bị hạn chế quyền truy cập vào môi trường đích. Ví dụ: nếu một công ty đã thực hiện kiểm tra khả năng thâm nhập đối với các hệ thống DMZ của họ từ tất cả các mạng internet của họ, nhưng điều gì sẽ xảy ra nếu những kẻ tấn công tấn công thông qua cổng internet thông thường.
Limitation of Methods- Có khả năng hệ thống mục tiêu có thể gặp sự cố trong quá trình kiểm tra thâm nhập, vì vậy một số phương pháp tấn công cụ thể có thể sẽ bị loại khỏi bảng đối với người kiểm tra thâm nhập chuyên nghiệp. Ví dụ: tạo ra một lũ từ chối dịch vụ để chuyển hướng một hệ thống hoặc quản trị viên mạng khỏi một phương pháp tấn công khác, thường là một chiến thuật lý tưởng cho một kẻ thực sự xấu, nhưng nó có khả năng nằm ngoài các quy tắc tương tác đối với hầu hết những người kiểm tra thâm nhập chuyên nghiệp .
Limitation of Skill-sets of a Penetration Tester- Thông thường, những người kiểm tra thâm nhập chuyên nghiệp bị hạn chế vì họ có kỹ năng hạn chế bất kể chuyên môn và kinh nghiệm trong quá khứ của họ. Hầu hết họ đều tập trung vào một công nghệ cụ thể và có kiến thức hiếm hoi về các lĩnh vực khác.
Limitation of Known Exploits- Nhiều người trong số những người thử nghiệm chỉ biết với những khai thác đó, được công khai. Trên thực tế, sức mạnh tưởng tượng của họ không phát triển như những kẻ tấn công. Những kẻ tấn công thường nghĩ nhiều hơn suy nghĩ của người kiểm tra và phát hiện ra lỗ hổng để tấn công.
Limitation to Experiment- Hầu hết những người thử nghiệm đều bị ràng buộc về thời gian và tuân theo các hướng dẫn đã được tổ chức hoặc cấp cao của họ đưa ra. Họ không thử một cái gì đó mới. Họ không nghĩ xa hơn các hướng dẫn đã cho. Mặt khác, những kẻ tấn công có thể tự do suy nghĩ, thử nghiệm và tạo ra một số con đường mới để tấn công.
Hơn nữa, kiểm tra thâm nhập không thể thay thế các kiểm tra bảo mật CNTT thông thường, cũng không thể thay thế chính sách bảo mật chung, mà đúng hơn, kiểm tra thâm nhập bổ sung cho các quy trình xem xét đã thiết lập và phát hiện ra các mối đe dọa mới.