X公司渗透测试专项方案.doc
《X公司渗透测试专项方案.doc》由会员分享,可在线阅读,更多相关《X公司渗透测试专项方案.doc(20页珍藏版)》请在咨信网上搜索。
1、XXX渗透测试方案 文档编号 密级 版本编号 日期! 版本变更统计时间版本说明修改人 适用性申明本文档是(以下简称“某某”)为XXX(以下简称“XXX”)提交渗透测试方案,供XXX项目相关人员阅读。目录一.概述11.1项目背景11.2实施目标11.3服务目标2二.远程渗透测试介绍32.1渗透测试原理32.2渗透测试步骤32.3渗透测试风险规避62.4渗透测试收益72.5渗透工具介绍72.5.1系统自带工具82.5.2自由软件和渗透测试工具8三.项目实施计划103.1方案制订103.2信息搜集113.3测试实施113.4汇报输出153.5安全复查15四.交付结果16五.某某渗透测试优势16附录A
2、某某企业介绍19一. 概述1.1 项目背景XXX成立于1992年,注册资金7亿元,含有中国房地产开发企业一级资质,总资产300多亿元,是一个涵盖房地产开发、商业管理、物业管理、商贸代理、综合投资业务大型集团企业。多年来,XXX信息系统发展和信息化建设密不可分,而且经过领导重视、业务需求、本身努力已经将信息化程度提升到一定水平。但多年来针对XXX信息系统安全事件时有发生,网络面临安全威胁日益严重。伴随业务需求不停地增加、网络结构日趋复杂,信息系统面临安全威胁、威胁主体及其动机和能力、威胁客体等方面全部变得愈加复杂和难于控制。XXX信息系统建设是由业务系统驱动建设而成,初始网络建设大多没有统一安全
3、计划,而业务系统业务特征、安全需求和等级、使用对象、面正确威胁和风险各不相同。在支持业务不停发展前提下,怎样确保系统安全性是一个巨大挑战,对系统进行区域划分,进行层次化、相关键保护是确保系统和信息安全有效手段,信息安全体系化建设和开展迫在眉睫。1.2 实施目标信息安全越来越成为保障企业网络稳定运行关键元素。XXX信息系统经过多年实践和探索,已经初具规模,在技术上、产品方面取得了很大成就,但伴随企业面临安全威胁不停改变,单纯地靠产品来处理各类信息安全问题已经不能满足XXX实际安全需求。从根本上处理现在企业所面临信息安全难题,只靠技术和产品是不够,服务将直接影响四处理各类安全问题效果。对于已经实施
4、了安全防护方法(安全产品、安全服务)或立即实施安全防护方法XXX而言,明确网络目前安全现实状况对下一步安全建设含有重大指导意义。所以此次项目标目标是经过远程渗透测试全方面检测XXX信息系统现在存在安全隐患,为下一步信息安全建设提供依据。我们相信,凭借某某多年安全技术积累和丰富安全服务项目经验,能够圆满完成此次安全服务项目。同时,我们也期望能继续保持和XXX在信息安全项目上长久合作,共同为XXX信息系统安全建设贡献力量。1.3 服务目标某某在此次XXX信息安全服务项目中将达成以下目标:n 经过远程渗透测试全方面检测XXX信息系统直接暴露在互联网上安全隐患,并提供实际可行安全修复提议。二. 远程渗
5、透测试介绍2.1 渗透测试原理渗透测试过程关键依据某某安全教授已经掌握安全漏洞信息,模拟黑客真实攻击方法对系统和网络进行非破坏性质攻击性测试。这里,全部渗透测试行为将在用户书面明确授权和监督下进行。2.2 渗透测试步骤方案制订某某获取到XXX书面授权许可后,才进行渗透测试实施。而且将实施范围、方法、时间、人员等具体方案和XXX进行交流,并得到XXX认同。在测试实施之前,某某会做到让XXX对渗透测试过程和风险知晓,使随即正式测试步骤全部在XXX控制下。信息搜集这包含:操作系统类型指纹搜集;网络拓扑结构分析;端口扫描和目标系统提供服务识别等。能够采取部分商业安全评定系统(如:ISS、极光等);无偿
6、检测工具(NESSUS、Nmap等)进行搜集。测试实施在规避防火墙、入侵检测、防毒软件等安全产品监控条件下进行:操作系统可检测到漏洞测试、应用系统检测到漏洞测试(如:Web应用),此阶段假如成功话,可能取得一般权限。渗透测试人员可能用到测试手段有:扫描分析、溢出测试、口令爆破、社会工程学、用户端攻击、中间人攻击等,用于测试人员顺利完成工程。在获取到一般权限后,尝试由一般权限提升为管理员权限,取得对系统完全控制权。一旦成功控制一台或多台服务器后,测试人员将利用这些被控制服务器作为跳板,绕过防火墙或其它安全设备防护,从而对内网其它服务器和用户端进行深入渗透。此过程将循环进行,直到测试完成。最终由渗
7、透测试人员清除中间数据。汇报输出渗透测试人员依据测试过程结果编写直观渗透测试服务汇报。内容包含:具体操作步骤描述;响应分析和最终安全修复提议。安全复查渗透测试完成后,某某帮助XXX对已发觉安全隐患进行修复。修复完成后,某某渗透测试工程师对修复结果再次进行远程测试复查,对修复结果进行检验,确保修复结果有效性。下图是更为具体步骤拆分示意图:某某渗透测试步骤图2.3 渗透测试风险规避在渗透测试过程中,即使我们会尽可能避免做影响正常业务运行操作,也会实施风险规避计策,不过因为测试过程改变多端,渗透测试服务仍然有可能对网络、系统运行造成一定不一样程度影响,严重后果是可能造成服务停止,甚至是宕机。比如渗透
8、人员实施系统权限提升操作时,突遇系统停电,再次重启时可能会出现系统无法开启故障等。所以,我们会在渗透测试前和XXX具体讨论渗透方案,并采取以下多条策略来规避渗透测试带来风险:时间策略:为减轻渗透测试造成压力和预备风险排除时间,通常安排测试时间在业务量不高时间段。测试策略:为了防范测试造成业务中止,能够不做部分拒绝服务类测试。很关键系统不提议做深入测试,避免意外瓦解而造成不可挽回损失;具体测试过程中,最终止果能够由测试人员做推测,而不实施危险操作步骤加以验证等。备份策略:为防范渗透过程中异常问题,测试目标系统需要事先做一个完整数据备份,方便在问题发生后能立即恢复工作。对于关键业务系统等不可接收可
9、能风险系统测试,能够采取对目标副本进行渗透方法加以实施。这么就需要完整复制目标系统环境:硬件平台、操作系统、应用服务、程序软件、业务访问等;然后对该副本再进行渗透测试。应急策略:测试过程中,假如目标系统出现无响应、中止或瓦解等情况,我们会立即中止渗透测试,并配合XXX技术人员进行修复处理等。在确定问题、修复系统、防范此故障再重演后,经XXX方同意才能继续进行其它测试。沟通策略:测试过程中,确定测试人员和XXX方配合人员联络方法,便于立即沟通并处理工程中难点。2.4 渗透测试收益渗透测试是站在实战角度对XXX指定目标系统进行安全评定,能够让XXX相关人员直观了解到自己网络、系统、应用中隐含漏洞和
10、危害发生时可能造成损失。经过我们渗透测试,能够取得以下增益:n 安全缺点:从黑客角度发觉XXX安全体系中漏洞(隐含缺点),帮助XXX明确现在降低风险方法,为下一步安全策略调整指明了方向。n 测试汇报:能帮助XXX以实际案例形式来说明现在安全现实状况,从而增加XXX对信息安全认知度,提升XXX人员风险危机意识,从而实现内部安全等级整体提升。n 交互式渗透测试:我们渗透测试人员在XXX约定范围、时间内实施测试,而XXX人员能够和此同时进行相关检测监控工作,测试自己能不能发觉正在进行渗透测试过程,从中真实评定自己检测预警能力。2.5 渗透工具介绍渗透测试人员模拟黑客入侵攻击过程中使用是操作系统自带网
11、络应用、管理和诊疗工具、黑客能够在网络上无偿下载扫描器、远程入侵代码和当地提升权限代码和某某自主开发安全扫描工具。这些工具经过全球数以万计程序员、网络管理员、安全教授和黑客测试和实际应用,在技术上已经很成熟,实现了网络检验和安全测试高度可控性,能够依据使用者实际要求进行有针对性测试。不过安全工具本身也是一把双刃剑,为了做到万无一失,我们也将针对系统可能出现不稳定现象提出对应对策,以确保服务器和网络设备在进行渗透测试过程中保持在可信状态。2.5.1 系统自带工具以下列出了关键应用到系统自带网络应用、管理和诊疗工具,某某渗透测试工程师将用到但不限于只使用以下系统命令进行渗透测试。工具名称风险等级获
12、取路径关键用途存在风险描述风险控制方法ping无系统自带获取主机信息无无telnet无系统自带登录系统无无ftp无系统自带传输文件无无tracert无系统自带获取网络信息无无net use无系统自带建立连接无无net user无系统自带查看系统用户无无echo无系统自带文件输出无无nslookup无系统自带获取主机信息无无IE无系统自带取得web信息、进行SQL注入无无2.5.2 自由软件和渗透测试工具以下列出了渗透测试中常见到网络扫描工具、网络管理软件等工具,这些工具全部是网络上无偿软件。某某渗透测试工程师将可能利用到不过不限于利用以下工具。远程溢出代码和当地溢出代码需要依据具体系统版本和漏
13、洞情况来选择,因为种类繁杂而且没有代表性,在这里不会一一列出。工具名称风险等级获取路径关键用途存在风险描述风险控制方法nmap无www.insecure.org获取主机开放服务、端口信息无无nessus低www.nessus.org对主机进行漏洞扫描可能造成网络资源占用假如主机负载过高,停止扫描。Retina低对主机进行漏洞扫描可能造成网络资源占用假如主机负载过高,停止扫描。nc无端口连接工具无无远程溢出工具中packetstormsecurity.nl经过漏洞远程进入系统溢出程序可能造成服务不稳定备份数据,服务异常时重启服务。当地溢出工具中packetstormsecurity.nl经过漏洞
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 公司 渗透 测试 专项 方案
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【精****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【精****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。