产品解决方案安全专区定价 WeTest生态支持与服务关于WeTest

浅谈渗透测试服务在泛互行业带来的价值

安全专区 2024-04-10 17:58 66

在泛互联网行业中，渗透测试服务对于保障企业的网络安全至关重要。

通俗的去讲，渗透测试一般是通过远程的方式模拟黑客去发起测试，需要利用目标的安全弱点，发起攻击。不同于攻击者，对于一般安全公司做的渗透测试都是非破坏性的，因此广大客户是可以放心去选择的。

从流程上渗透攻击一般分为几个步骤：信息收集阶段，对所有的信息进行收集通过扫描的方式和手动收集，收集完后到漏洞分析阶段，根据经验进行捕捉有价值的漏洞，生成一个价值漏洞表，随后来到渗透攻击阶段，攻击人员将对有价值漏洞进行测试攻击，接着最后一旦攻陷成功，将进行后渗透，进行挖掘和发起更多安全事件，这也可参考在就是被曝出xxxx公司勒索事件、xxx公司数据泄露事件等重大事件的起因过程。

那造成如此严重的损害，真实的攻击过程中会用到哪些工具？如下表所示列举了小部分。在真实的攻击中可能用到的工具会十几种不等。因此可以看出攻击者的手段也更加丰富和多样化。

那哪些安全问题对来是非常严重且非常有利用价值呢？如下列举了一些：

1.信息泄露类：个人信息、备份文件、敏感信息可能会通过路径泄露等；

2.密码类：包含弱口令，密码未做安全存储、传输保护导致密码窃取；

3.业务逻辑漏洞：未设置限制、时间戳等引起的交易欺诈、短信轰炸等事件；

4.权限类：权限可以被任意篡改，未进行权限划分等安全策略而导致的越权、伪造等事件；还有的就不一一列举了，被可被利用的脆弱性还有非常多非常多。

以上是为渗透测试背景介绍，接下来去谈谈渗透又会带来哪些价值呢？

随着攻击者的技术在不断的提升，在加上行业的不同，业务的丰富性，越来越多的客户对自己的app/小程序/web网站的安全性要求越来越高，特别是ToB的客户已经非常重视自身的产品安全不影响它们的客户。合规上也进行了要求，就是网络安全审查办法的颁布，要求任何第三方采购的产品需要证明自身产品的安全性，因此越来越多的客户关注起来自身的安全性。

对于渗透测试的客户，一般画像分为这几类：

第一类，通用客户本身有安全意识，关注业务逻辑漏洞、关注自身严重弱点隐患。

第二类，资产有一定规模的客户，ToB的客户需要一些自证，需要参与投标、作为竞品的优势。

第三类，新业务上线，想从安全的角度评估风险及时整改，防止重大安全隐患造成重大损失。

第四类，有属性的单位，需要定期向上汇报，每年需要参加hw，有合规上的重视。

从客户画像来看，市场对于渗透测试需求是非常高的，不限行业，几乎所有客户都需要。

那作为一款ToB的服务，对客户有哪些价值呢？

对客户而言，首先可以对自己的防御系统做一次检验，对于存在的后门及高危漏洞及时做修复。其次验证自己的系统上线前会不会存在高风险，避免重大的经济损失和品牌形象。曾经某一卡通公司上线app二维码扫描没有设置支付限制和密钥加密存储，导致被圈走几百万人民币，出现问题后，仅仅用了20w左右的渗透测试发现了业务逻辑问题。像这种安全投入5%-10%而避免90%以上重大损失，对于客户而言渗透测试是一项属于高价值的安全服务。其实像这样的案例还很多很多，如果一定要说业界哪一款测试对客户的价值最高，那一定首选就是渗透，毋庸置疑。因为普通的自动化扫描是固定的漏洞库，也只能检测出也是有限的安全问题。

腾讯WeTest渗透测试解决方案正是这么一种结合了自动化扫描和人工渗透的解决方案。我们为客户准备了强大的安全检测分析项，多形态的扫描检测方式。种类丰富的安全分析工具、定制化渗透方案、跨平台支持。渗透测试签署保密协议，渗透测试行为严格遵守相关法律、行业规范。

基于强大的漏洞知识库出具详细的分析报告，腾讯WeTest安全团队联合业内专家给出安全风险分析、等级评判与整改落地方案。
腾讯WeTest渗透测试解决方案为用户准备了8大类、79小类、超10,000+安全检测项，汇聚行业内专家共享主流安全漏洞情报库，具备0day漏洞首发感知响应、扫描检测能力。
使用黑盒+白盒+灰盒多形态的漏洞检测方式，使用上百种渗透测试、漏洞分析工具，从业内真实黑客角度轮换人员模拟攻击，最大程度展现攻击面，发现安全风险。

欢迎点击平台右下角【客服】按钮，进一步了解和体验腾讯WeTest渗透服务或其他安全类解决方案。

即刻加入WeTest官方测试交流群，第一时间了解更多服务资讯。