Các loại kiểm tra thâm nhập
Loại thử nghiệm thâm nhập thông thường phụ thuộc vào phạm vi, mong muốn và yêu cầu của tổ chức. Chương này thảo luận về các loại kiểm thử Thâm nhập khác nhau. Nó còn được gọi làPen Testing.
Các loại kiểm tra bút
Sau đây là các loại kiểm tra bút quan trọng -
- Kiểm tra thâm nhập hộp đen
- Kiểm tra thâm nhập hộp trắng
- Kiểm tra thâm nhập hộp xám
Để hiểu rõ hơn, hãy để chúng tôi thảo luận chi tiết về từng người trong số chúng -
Kiểm tra thâm nhập hộp đen
Trong thử nghiệm thâm nhập hộp đen, người thử nghiệm không biết gì về hệ thống mà anh ta sẽ thử nghiệm. Anh ta quan tâm đến việc thu thập thông tin về mạng hoặc hệ thống mục tiêu. Ví dụ, trong thử nghiệm này, người thử nghiệm chỉ biết đâu là kết quả mong đợi và anh ta không biết kết quả đến như thế nào. Anh ta không kiểm tra bất kỳ mã lập trình nào.
Ưu điểm của kiểm tra thâm nhập hộp đen
Nó có những ưu điểm sau:
Tester không nhất thiết phải là một chuyên gia, vì nó không yêu cầu kiến thức ngôn ngữ cụ thể
Người kiểm tra xác minh các mâu thuẫn trong hệ thống thực tế và các thông số kỹ thuật
Kiểm tra thường được tiến hành với quan điểm của người dùng, không phải nhà thiết kế
Nhược điểm của kiểm tra thâm nhập hộp đen
Nhược điểm của nó là -
Đặc biệt, những loại test case này rất khó thiết kế.
Có thể, nó không có giá trị, trong trường hợp nhà thiết kế đã tiến hành một trường hợp thử nghiệm.
Nó không tiến hành mọi thứ.
Kiểm tra thâm nhập hộp trắng
Đây là một thử nghiệm toàn diện, vì người kiểm tra đã được cung cấp toàn bộ thông tin về hệ thống và / hoặc mạng như Lược đồ, Mã nguồn, chi tiết hệ điều hành, địa chỉ IP, v.v. Nó thường được coi là mô phỏng một cuộc tấn công bởi một nguồn nội bộ. Nó còn được gọi là kiểm tra kết cấu, hộp kính, hộp trong và hộp mở.
Kiểm tra thâm nhập hộp trắng kiểm tra độ bao phủ của mã và thực hiện kiểm tra luồng dữ liệu, kiểm tra đường dẫn, kiểm tra vòng lặp, v.v.
Ưu điểm của thử nghiệm thâm nhập hộp trắng
Nó mang những ưu điểm sau:
Nó đảm bảo rằng tất cả các đường dẫn độc lập của một mô-đun đã được thực hiện.
Nó đảm bảo rằng tất cả các quyết định logic đã được xác minh cùng với giá trị đúng và sai của chúng.
Nó phát hiện ra các lỗi đánh máy và kiểm tra cú pháp.
Nó tìm thấy các lỗi thiết kế có thể đã xảy ra do sự khác biệt giữa luồng logic của chương trình và quá trình thực thi thực tế.
Kiểm tra thâm nhập hộp xám
Trong loại thử nghiệm này, người thử nghiệm thường cung cấp một phần hoặc thông tin hạn chế về các chi tiết nội bộ của chương trình của hệ thống. Nó có thể được coi là một cuộc tấn công của một tin tặc bên ngoài đã truy cập bất hợp pháp vào các tài liệu cơ sở hạ tầng mạng của một tổ chức.
Ưu điểm của kiểm tra thâm nhập hộp xám
Nó có những ưu điểm sau:
Vì người thử nghiệm không yêu cầu quyền truy cập mã nguồn, nên nó không xâm phạm và không thiên vị
Vì có sự khác biệt rõ ràng giữa nhà phát triển và người thử nghiệm, do đó ít có nguy cơ xung đột cá nhân nhất
Bạn không cần cung cấp thông tin nội bộ về các chức năng của chương trình và các hoạt động khác
Các lĩnh vực kiểm tra thâm nhập
Kiểm tra thâm nhập thường được thực hiện trong ba lĩnh vực sau:
Network Penetration Testing- Trong thử nghiệm này, cấu trúc vật lý của hệ thống cần được kiểm tra để xác định lỗ hổng và rủi ro đảm bảo an toàn trong mạng. Trong môi trường mạng, người kiểm tra xác định được các lỗi bảo mật trong thiết kế, triển khai hoặc vận hành mạng của công ty / tổ chức tương ứng. Các thiết bị được kiểm tra bởi người kiểm tra có thể là máy tính, modem hoặc thậm chí là thiết bị truy cập từ xa, v.v.
Application Penetration Testing- Trong thử nghiệm này, cấu trúc logic của hệ thống cần được kiểm tra. Nó là một mô phỏng tấn công được thiết kế để tiết lộ hiệu quả của các biện pháp kiểm soát bảo mật của ứng dụng bằng cách xác định lỗ hổng và rủi ro. Tường lửa và các hệ thống giám sát khác được sử dụng để bảo vệ hệ thống an ninh, nhưng đôi khi, nó cần được kiểm tra tập trung, đặc biệt khi lưu lượng truy cập được phép đi qua tường lửa.
The response or workflow of the system- Đây là lĩnh vực thứ ba cần được kiểm tra. Kỹ thuật xã hội thu thập thông tin về tương tác của con người để có được thông tin về một tổ chức và máy tính của tổ chức đó. Sẽ có lợi khi kiểm tra khả năng của tổ chức tương ứng để ngăn chặn truy cập trái phép vào hệ thống thông tin của tổ chức đó. Tương tự như vậy, bài kiểm tra này được thiết kế dành riêng cho quy trình làm việc của tổ chức / công ty.