网络渗透测试无法告诉你的东西

 在安全管理领域，最神秘的事情之一就是入侵者的行为方式。入侵者会做什么事情？以及他们是如何来做的？同所有重大的秘密一样，它也让许多人产生了浓厚的兴趣，同时也解释了关于实际网络攻击的书籍和教程大受欢迎的原因。如果你不具备所有正当访问权限的话，抛开违反法律不谈，对网络进行攻击可能令人乐趣无穷并且增长见识，然而事实却是，我们当中的绝大多数人并不需要知道如何去进行攻击。坦率地说，成为一名优秀的渗透测试人员仅仅需要参加一个多星期的课堂教育。而此外还需要信守承诺、奉献精神、直觉及对技术的良好悟性，不用说，还有对做事情的规则及正当方法的公然漠视。在许多情况下，这些技术并非绝大多数安全管理员能够具备，或者说必需的。在绝大多数时候，雇佣一些这样的人来实施网络渗透测试，这样做成本低廉并且能够达到更好的效果。职业渗透测试人员发现问题的能力将会高人一筹，同样还能清晰地找出导致这些问题的根源。那么，为什么那些讲述网络攻击的书籍或课程如此受到欢迎呢？嗯，坦率地说，这主要归咎于网络攻击的神秘性和其认知难度。同样地，如果一名系统管理员有能力实施基本渗透测试的话，那么他的价值将会得到提升。然而，本章的侧重点稍有不同。对于具体网络攻击如何发生的细节，我们的叙述也许并非一清二楚，但首先我们需要对导致问题的那些操作实践有相当清醒的认识。这是经过深思熟虑的做法。其中至关重要的部分并不是展示如何来对某些东西实施攻击，而是展示入侵者如何利用你犯下的错误。这使得你可以通过避免犯这些可能被入侵者所利用的错误，来保护你的网络。

       然而，在开始本章之前，让我们先清晰地说明一点：我们既不会宽恕也不会帮助、维护那些对网络或系统进行攻击的人，如果这些系统并不为他们所有或他们并未被许可对其进行攻击。

       警告：对不属于你的网络或系统实施攻击的行为是不合法的和不道德的，并且与信息安全专业人员的道德准则相悖。

      另外，本章还示范了一系列不同工具的使用。尽管这些工具中的部分可以在Internet上自由下载，但其中绝大部分工具的编写目的都是用于合法的网络渗透测试。不管怎样，我们仍然应当遵守上面的原则。

     注意：不要浪费精力在本书配套光盘上寻找本章中用到的那些工具软件了。它们并未被收录其中。

     本书的目的是让网络变得更加安全，并非提供某些工具来对网络进行破坏。特定的信息系统安全专业人员，也就是那些负责网络渗透测试的人，拥有合法利用这些工具的权利。通常说来，系统管理员，并不需要这些工具中的大多数，因为它们的用途仅限于对网络进行入侵。因为所有有能力胜任的渗透测试人员（或者系统管理员）当需要这些类型工具的时候都能够自己编写出来，所以我们在此更没有必要班门弄斧地提供这些工具了。

      需要注意的是：我们所展示的实例以及用来示范攻击方法的网络都是完全虚构出来的。这一网络是为了示范攻击的目的而特地构建的。如果与某个真实的办公网络存在有任何相似之处，那么这完全是无意识的巧合。

      网络渗透测试无法告诉你的东西

      我们当中的一些人已经作为测试人员或用户参与到渗透测试中了，或者至少曾经与那些为我们提供渗透测试服务的安全顾问们进行过联系。渗透测试听起来像是一种测试，以检查你是否可以渗透进入某个网络。如果实施恰当，渗透测试将会价值非凡；但即使是实施不正确的渗透测试，参与其中也是让人激动不已的。然而，我们中绝大多数人的本职工作并非是破坏网络，而是对它们进行保护并确保它们所提供的服务能够正常地运转。基于这一点，你需要对网络渗透测试具备某种程度的了解。

     首先，通常说来绝大多数的系统管理员不会成为非常优秀的渗透测试人员。造成这一现象的原因之一就是已经关闭了他们所知道的所有漏洞；否则，他们就是疏忽大意的

     系统管理员。另外，成为一名优秀的渗透测试人员需要具备像犯罪者一样思考的能力。毕竟，测试的目的在于示范入侵者将会做什么事情。我们中大多数人在启蒙时期就接受教育，要成为一名遵纪守法的良好公民，并且完全不擅长构想非常似是而非和标新立异的犯罪计划。虽然如此，但确实有一些人非常精于此道。他们之中的一些人就是罪犯，你应当同任何吹嘘自己犯罪行为的人保持距离。然而，许多拥有这些技能的人却是属于“白帽”黑客（相对于那些“黑帽”，或者是犯罪黑客而言）。这些“白帽”黑客都受雇于那些闻名遐迩的安全公司，而且往往通过了严格的验证，通过一些不同的咨询公司可以聘请到他们。{#page#}

      其次，网络渗透测试的错误实施可能会对公司网络的稳定性带来可怕的后果。举例来说，入侵者（包括白帽和黑帽黑客）所使用的某些工具软件其设计的目的是探测某个网络中存在的安全漏洞。对于某些安全漏洞，尤其是拒绝服务（DoS）漏洞而言，在未进行测试之前是很难断言某个系统是否存在这些漏洞的。因此，我们只能使用一些工具来对网络进行攻击。如果遭受攻击之后系统仍然能够正常响应，那么它就没有漏洞！对某个办公网络错误地使用这类工具，可能带来的影响就是非常迅速地让整个网络无法正常工作。即使这样的悲剧没有发生，对某个系统使用攻击工具和漏洞溢出程序也有可能造成误伤，让这一系统甚至整个网络变得不稳定，或者是造成其他无意的不良后果。作为一名网络安全专家，他应当了解在何处划定一条线，使他能够对网络进行某种程度的攻击而不对它造成破坏，反之，一名网络安全的业余爱好者通常就不会考虑到这些因素。

      第三，网络渗透测试需要专门的工具软件，在很多情况下，这些工具并非可以随处找到。尽管某些系统管理员完全具备编写这些工具的能力，但是通常说来，将用于编写工具的时间花在保护网络上面效果会更好。

       第四，网络渗透测试中最为关键的部分——编写测试结果报告，实际上是极其枯燥乏味的。在后面的叙述部分中，我们可以只注意对于攻击描述的详细程度是怎样的。同时也请牢记在心，我们会故意将某些东西简化，以避免为如何进攻一个网络提供完整的指导。与之相反，要编写恰当的渗透测试报告，渗透测试人员必须保留极为详细的笔记，然后花费几个小时的时间来将它们合并成一份便于使用的文档。测试报告必须足够详细，使得其他人能够理解攻击过程，否则这一报告将不会有多少价值。

       以上几点可以归结为一句话：尽管了解入侵者是如何操作的、他们所依赖的操作实践类型，以及他们采用的攻击手段是非常关键的，但对于绝大多数的系统管理员及安全管理员来说，能够实际地实施这些攻击并非必需的。这就如同欣赏艺术品一样，与能够创造它们相比是完全不同的要求。渗透测试就是这样的艺术品。我的建议是，把测试工作交给那些具备相应技能、思维清晰并且有时间来学习如何有效进行渗透的人。通常说来，这一任务最好留给安全顾问们，因为他们具备技能、工具、头脑，所以你对网络的预先了解并不会影响他们。我们可以在邮件列表里，或者新闻组上面同其他公司的同事进行交谈，并了解哪些人是真正优秀的渗透测试顾问。同样要谨记在心的还有，应用程序的渗透测试和网络渗透测试是完全不同的两种任务。原因很简单，那些能够在某些特定软件产品中发现安全漏洞的人，并不一定就能够实施对一个网络的渗透攻击。如果你感兴趣的是网络渗透测试的话，那么就寻找那些专攻网络渗透测试的公司。应用程序的评估同样是可以做到的，但这是另一种类型的任务，目标不同，而且它主要是针对那些进行内部软件开发或使用定制软件的公司。

       如果你在负责为一次渗透测试签订合同，那么你要留意的法律问题是什么呢？首先也是最重要的，我们强调再多次也不为过：确保签署这一渗透测试合同的人，具备授权某人入侵这一网络，也就是授予“无罪释放”令牌的权力。

       目前，有许多人之所以在监狱服刑，是因为他们侵入了那些他们原本认为自己有权侵入的系统，然而不久之后他们认识到，实际上他们并没有这一权力。对于那些想找人来入侵某个他们无权进入系统的人们，同样的牢狱命运也许就等待着他们。

       其次，要确保你已经具备了效力充分的不泄漏保证协议，而且这些安全顾问将不会被允许保留任何公司的敏感信息，除非处于极其严格的数据保护标准之下。最糟糕的事情莫过于，花钱雇佣一些人来入侵你的网络，最后却发现网络的设计图被某人记录下来，网络的安全也随后也被危及。而且，更危险的是，这些人会利用公司的敏感信息并将其兜售给其他别有用心的人。

        再次，将这一测试报告视作一剂有益健康的“多疑症注射剂”。当这一报告来源于一次黑盒测试时（在测试中，测试人员不具备访问内部信息的权力，例如源代码和账号列表），这一点尤其正确，因为这恰好展示了在没有内部信息的情况下入侵者所能实施的行为。安全管理员可能犯下的最大错误就是假设一切都没有问题。

         最后，请对“你的网络是安全的”这类近乎虚构的报告结论保持警觉。这一情况出现的频率高得令人担忧，基于他们无法渗透进入任何系统的事实，安全顾问会向你提交一份报告，其中宣称这一网络是安全的。这并不意味着你的网络的确是安全的。如果某一名渗透测试人员告诉你，你的网络是安全的，那么他的这一番话只能表明他的能力不足以证明网络是不安全的。你的网络其实并不安全。它仅仅对那些渗透测试人员了解如何利用的漏洞或问题有足够的防护能力。合同中应当明确声明，怎样才能构成一次成功的入侵，以及如果渗透测试人员无法完成一次入侵，酬金会减少多少。这里至关重要的一点，漏洞分析工具的输出结果并不能等同于一次网络渗透测试。