安全行业测试报告

释放双眼,带上耳机,听听看~!

在安全服务的过程中经常需要对服务结果通过报告的方式体现给客户,下面分享我整理的一些测试报告给大家。

信息收集:此阶段中,XX科技测试人员进行必要的信息收集,如 IP 地址、DNS 记录、软件版本信息、IP 段、Google中的公开信息等。

渗透测试:此阶段中,XX科技测试人员根据第一阶段获得的信息对网络、系统进行渗透测试。此阶段如果成功的话,可能获得普通权限。

缺陷利用:此阶段中,XX科技测试人员尝试由普通权限提升为管理员权限,获得对系统的完全控制权。在时间许可的情况下,必要时从第一阶段重新进行。

成果收集:此阶段中,XX科技测试人员对前期收集的各类弱点、漏洞等问题进行分类整理,集中展示。

威胁分析:此阶段中,XX科技测试人员对发现的上述问题进行威胁分类和分析其影响。

输出报告:此阶段中,XX科技测试人员根据测试和分析的结果编写直观的渗透测试服务报告。

 

1)传统的安全评估,渗透测试工作很多仅仅是发现漏洞、利用漏洞获取最高权限、漏洞统计等等没有太大意义的工作。经过在实践当中的摸索,我发现利用风险图与漏洞说明细节关联的方法能非常直观的表现出客户网络的风险,而且在风险图上可以很直观的看到客户最关心的业务风险,这样就能非常有说服力,而非仅仅像以前的安全评估工作大多是从漏洞数量、从漏洞危害、从获取的控制权上说明风险。

 

2)在阅读该风险文档的时候,只要以风险图为中心去通篇阅读该文档就能非常直观的了解整体的安全风险。当然还可以考虑进一步完善,比如用另一张风险图来描述安全策略控制点等等。该文档仅仅用来提供一个思路,到0630号为止,目前我和我的同事们、朋友们还没发现国内有谁做过或者公开过这样思路的文档。我想放出来给大家讨论讨论该方法是否可行,是否是一个不错的好思路,我希望能对将来的评估或渗透工作起到一点好的作用。

3)该文档只是一个渗透文档,如果是做评估的话可以把攻击路径画出来,不同路径能够带来的风险,路径风险可分两大类,一种是可能的风险线是推演出来的并不一定发生或可以立即证明,第二种是通过技术手段证实的客观存在的风险线。另外还需要标明上各风险点的风险指数等参数。

4)该文档只是演示思路,事实上我去掉了大量的内容并修改了很多内容。

下面到了大家最期待的环节!渗透测试、等保测评、风险评估等文档资料已整合为一个文件,公众号回复 安全报告 就可以获得下载链接,领到就是赚到!!!关注公众号每天领价值数十万的学习资料,还不赶紧分享给朋友们~

想投稿的可以在公众号联系我,有技术含量有趣的文章通过可以加入我们的核心团队,成员大部分为各大公司安全负责人和安全行业专家,0day多多内部资料多多,欢迎来撩。


人已赞赏
安全工具

漏洞复现-快速开启RMI&&LDAP

2019-10-11 17:01:48

安全工具

满满的干货第二期!Defcon黑客大会1-24期739G资料免费分享

2019-10-11 17:01:54

0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索