滲透測(cè)試
在客戶授權(quán)許可的情況下，由興先道安全研究團(tuán)隊(duì)模擬黑客使用的漏洞發(fā)現(xiàn)技術(shù)和攻擊手段，從攻擊者的角度對(duì)目標(biāo)系統(tǒng)的網(wǎng)絡(luò)、主機(jī)系統(tǒng)、應(yīng)用服務(wù)的安全性作深入的非破壞性探測(cè)，以發(fā)現(xiàn)系統(tǒng)的薄弱環(huán)節(jié)。
滲透測(cè)試能夠優(yōu)先攻擊者發(fā)現(xiàn)系統(tǒng)漏洞，非常明顯、直觀的發(fā)現(xiàn)當(dāng)前系統(tǒng)存在的安全隱患，反映系統(tǒng)的安全現(xiàn)狀，為系統(tǒng)后續(xù)的安全建設(shè)提供指導(dǎo)和有價(jià)值的依據(jù)。
→ 信息泄露：對(duì)外服務(wù)是否暴露了可能被黑客利用的敏感信息。
→ 業(yè)務(wù)邏輯測(cè)試：系統(tǒng)是否在業(yè)務(wù)邏輯設(shè)計(jì)上存在被黑客利用的漏洞。
→ 認(rèn)證測(cè)試：系統(tǒng)是否存在弱口令、繞過身份認(rèn)證、瀏覽器緩存管理等漏洞。
→ 會(huì)話管理測(cè)試：系統(tǒng)是否存在會(huì)話劫持、CSRF 等漏洞。
→ 數(shù)據(jù)有效性驗(yàn)證測(cè)試：系統(tǒng)是否存在 SQL 注入、跨占腳本攻擊、LDAP 注入等漏洞。
→ 由興先道安全研究團(tuán)隊(duì)通過互聯(lián)網(wǎng)遠(yuǎn)程或現(xiàn)場(chǎng)方式進(jìn)行測(cè)試。
向客戶提交《信息系統(tǒng)滲透測(cè)試報(bào)告》。以實(shí)際案例的形式來向客戶說明當(dāng)前安全現(xiàn)狀，增加客戶對(duì)信息安全的認(rèn)知度，提升客戶的風(fēng)險(xiǎn)危機(jī)意識(shí)，從而實(shí)現(xiàn)內(nèi)部安全等級(jí)的整體提升。
