What is Offensive Cyber Security?

攻擊性安全的重要性

網絡防禦者與網絡犯罪分子和其他網絡威脅主體一起玩一個不斷的貓鼠遊戲。 當攻擊者開發新的工具和技術時，防守者會對其實施防禦。 然後，攻擊者會努力繞過這些防禦。

如果一個組織僅從防禦的角度來處理網路安全，那麼它開發的工具和防禦措施只有在該組織受到攻擊時才能得到真正的測試。此外，新防禦的開發是在真空中執行，而且對於實際上關閉組織防禦中的漏洞實際需要的洞察力有限。

進攻性網路安全為組織提供了一種測試其防禦能力並識別需要解決的安全漏洞的方法。透過模擬現實世界的攻擊，進攻性網路安全測試可以識別對組織構成最大風險的脆弱性，使公司能夠將安全投資和精力集中在可提供最大投資回報的地方。

攻擊性網路安全服務的類型

脆弱性掃描是一個自動化過程，用於識別組織應用程式中的脆弱性。脆弱性掃描器將嘗試識別目標系統上執行的應用程式並確定它們是否包含脆弱性。這可以透過尋找特定軟體版本的已知脆弱性和向應用程式發送惡意輸入（例如常見的SQL 注入字串）相結合來實現。

網路威脅行為者通常使用脆弱性掃描來識別潛在可利用的脆弱性，以準備攻擊。透過定期執行脆弱性掃描，組織可以在這些脆弱性被利用之前識別並關閉它們。

Penetration Testing

滲透測試是一種攻擊性安全測試的形式，人類測試組織的網絡防禦。 這些評估旨在識別組織防禦中盡可能多的脆弱性。

筆測驗可以識別自動掃描器會錯過的脆弱性，因為它們是由人類智力和知識指導的。定期筆測驗可以幫助組織消除最有可能被人類攻擊者利用的脆弱性。

紅色/藍色/紅色合作品

紅隊練習類似於筆測試，因為它們是由人類進行的，而不是完全自動化的。 主要區別在於，紅隊參與測試組織對特定威脅的防禦能力，而滲透測試旨在識別盡可能多的脆弱性。

藍色和紫色的團隊練習是指不同方參與演習和他們的合作水平。 例如，紫色團隊練習涉及進攻的紅隊和防守藍隊之間的更多協作和知識分享。

紅隊評估旨在模仿現實世界的攻擊，通常具有特定目標，例如資料外洩或勒索軟體交付。透過定期執行滲透測試，組織可以識別人類攻擊者會發現和利用的脆弱性，從而能夠彌補這些安全漏洞。

白盒/黑盒/灰盒

白盒、黑盒和灰盒練習並不是一種不同的評估形式。 相反，它們描述了獲得攻擊者的知識和訪問權限等級。 每種方法都有自己的優缺點：

• 白盒：在白盒評估中，評估員可以完全訪問公司系統和文件，模擬由強大內部（例如系統管理員）進行攻擊。 這些知識和存取使得更容易將攻擊集中在潛在脆弱性的領域，但存在測試人員可能因文件而產生偏見並關注系統設計用途而不是實際用途的風險。
• 黑盒：在黑盒評估中，測試員不會獲得知識或存取權限，進而模擬外部攻擊者。 雖然這種形式的評估更適合減少偏見，但由於需要進行偵察和計劃攻擊的需要，它可能會更加密的時間和資源。
• 灰盒：灰盒評估位於白盒和黑盒評估之間，使測試人員具有與普通用戶相同的知識和訪問權限。 這種方法平衡了黑盒和白盒方法的優缺點。

這三種攻擊性安全性測試方法可以應用於上述任何形式的測試。 有了更多的知識和訪問權限，筆測試員或紅色團隊員比黑盒評估更多的選擇。 同樣，額外的知識和存取可能會影響脆弱性掃描自動化工具的放置和配置。

社會工程測試

上面提到的許多測試都專注於鎖定組織的 IT 系統並避開數位防禦。 然而，許多網路威脅行為者會在攻擊中針對人為因素，而不是試圖識別和利用軟體的脆弱性。

社交工程測試專注於評估組織的員工、承包商等保護其數據和系統的能力。 社會工程師將使用欺騙、操縱和類似技術來欺騙或強迫目標執行一些有利於攻擊者的操作，例如移交敏感資料或授予對安全企業應用程式或空間的存取權限。