CN116723028A - 基于高价值资产数据流的渗透测试方法、系统及存储介质 - Google Patents
基于高价值资产数据流的渗透测试方法、系统及存储介质 Download PDFInfo
- Publication number
- CN116723028A CN116723028A CN202310777631.3A CN202310777631A CN116723028A CN 116723028 A CN116723028 A CN 116723028A CN 202310777631 A CN202310777631 A CN 202310777631A CN 116723028 A CN116723028 A CN 116723028A
- Authority
- CN
- China
- Prior art keywords
- attack
- value asset
- high value
- attack path
- data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 230000035515 penetration Effects 0.000 title claims abstract description 73
- 238000010998 test method Methods 0.000 title claims abstract description 12
- 238000012360 testing method Methods 0.000 claims abstract description 84
- 238000000034 method Methods 0.000 claims abstract description 42
- 238000004891 communication Methods 0.000 claims abstract description 19
- 239000011159 matrix material Substances 0.000 claims abstract description 16
- 238000011156 evaluation Methods 0.000 claims abstract description 11
- 230000008569 process Effects 0.000 claims description 24
- 230000006870 function Effects 0.000 claims description 16
- 230000007246 mechanism Effects 0.000 claims description 16
- 238000012795 verification Methods 0.000 claims description 16
- 238000013475 authorization Methods 0.000 claims description 12
- 230000003993 interaction Effects 0.000 claims description 12
- 230000002159 abnormal effect Effects 0.000 claims description 8
- 230000005540 biological transmission Effects 0.000 claims description 8
- 230000000694 effects Effects 0.000 claims description 8
- 230000010354 integration Effects 0.000 claims description 8
- 238000012544 monitoring process Methods 0.000 claims description 8
- 230000004044 response Effects 0.000 claims description 8
- 238000005516 engineering process Methods 0.000 claims description 7
- 230000006872 improvement Effects 0.000 claims description 7
- 238000001514 detection method Methods 0.000 claims description 5
- 206010000117 Abnormal behaviour Diseases 0.000 claims description 4
- 238000004458 analytical method Methods 0.000 claims description 4
- 238000005553 drilling Methods 0.000 claims description 4
- 238000012545 processing Methods 0.000 claims description 4
- 230000001105 regulatory effect Effects 0.000 claims description 4
- 230000008439 repair process Effects 0.000 claims description 4
- 238000013515 script Methods 0.000 claims description 4
- 238000004088 simulation Methods 0.000 claims description 4
- 238000005211 surface analysis Methods 0.000 claims description 4
- 238000010586 diagram Methods 0.000 description 3
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000012954 risk control Methods 0.000 description 2
- 238000009781 safety test method Methods 0.000 description 2
- 238000013459 approach Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000009877 rendering Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开了一种基于高价值资产数据流的渗透测试方法、系统及存储介质，方法包括以下步骤：利用架构文档、通信矩阵、账号列表获取系统架构信息；识别预定义的高价值资产；获取所述高价值资产的外部暴露面和数据流向并确定系统中与高价值资产相关的攻击路径；构建高价值资产攻击路径；执行攻击路径测试和评估并输出渗透测试报告。本发明基于系统的架构信息，通过识别预定义的高价值资产并利用高价值资产的外部暴露面和数据流向确定攻击路径，能够全面覆盖高价值资产受攻击的场景，同时能够针对性地进行渗透测试，进一步的可以提高系统的安全性，降低潜在的损失风险。
Description
技术领域
本发明涉及渗透测试技术领域，更具体地，涉及基于高价值资产数据流的渗透测试方法、系统及存储介质。
背景技术
当前网络安全的重要性日益突出，企业越来越重视自身系统安全。为了发现系统中的潜在弱点，许多企业选择邀请外部安全公司进行渗透测试。然而，目前的渗透测试方法主要采用黑盒测试，即通过对目标系统进行扫描，获取页面反馈并获取相关文件，然后逐项进行攻击测试。这种方法存在一些局限性，其中一个问题是对遍历的完整性有依赖，如果遍历不完整或扫描页面不全，可能会导致部分漏测。
现有技术中，公开号为CN107707561B的中国发明专利公开了一种渗透测试方法及装置，应用于包括浏览器的电子终端。方法包括：对待测网站进行扫描，获得待测试的多个目标网站；通过所述浏览器并发地访问每个目标网站，并接收每个目标网站返回的页面文件；渲染并加载接收到的页面文件，对加载后的页面文件截图并保存获得的截图；解析得到加载后的页面文件的代码；根据截图及代码确定每个目标网站的优先级，并按照该优先级对每个目标网站进行渗透测试。上述现有技术中的技术方案属于黑盒测试，仍存在测试的局限性，没有实现对确定的攻击路径针对性地进行渗透测试。
发明内容
本发明为克服上述现有技术存在的问题，提供一种基于高价值资产数据流的渗透测试方法、系统及存储介质，能够能够确定系统的攻击路径，针对性地进行渗透测试。
本发明的首要目的是为解决上述技术问题，本发明的技术方案如下：
本发明第一方面提供了一种基于高价值资产数据流的渗透测试方法，包括以下步骤：
利用架构文档、通信矩阵、账号列表获取系统架构信息；
识别预定义的高价值资产；
获取所述高价值资产的外部暴露面和数据流向并确定系统中与高价值资产相关的攻击路径；
构建高价值资产攻击路径；
执行攻击路径测试和评估并输出渗透测试报告。
进一步的，利用架构文档、通信矩阵、账号列表获取系统架构信息，具体包括：
根据架构文档、通信矩阵、账号列表得到系统的组件、模块和数据流向信息；分析系统的服务端和客户端架构，得到服务端和客户端的架构信息；确定系统中各个组件之间的交互方式和数据传输路径。
进一步的，识别预定义的高价值资产，具体包括：
根据系统的功能和数据流程识别出高价值资产；
分析系统中存储、处理和传输的数据，识别包含敏感信息、关键业务数据或知识产权的数据并作为高价值资产；
确定系统的关键资源将所述资源作为高价值资产，所述关键资源包括：核心模块、关键业务逻辑及访问控制机制；
确定系统的上下文环境，根据上下文环境对系统运行和业务成功的影响因子的大小将上下文环境作为高价值资产，所述上下文环境包括：与其他系统的接口、第三方集成和外部数据交互；
根据行业标准、安全准则以及法规和合规要求确定出高价值资产。
进一步的，获取所述高价值资产的外部暴露面和数据流向包括：
利用网络工具系统进行外部暴露面分析确定系统暴露给外部世界的接口和服务，所述网络工具：网络端口扫描工具、服务识别工具和漏洞探测工具；
利用系统的架构文档、通信矩阵以及其他文档，获取系统中不同组件之间的数据流向、信息交换方式和数据处理过程；
利用系统的日志记录、网络流量监测和安全事件记录，获取系统当前的运行状态、数据传输路径和潜在的安全风险；
通过系统的授权和身份验证机制，确定具有潜在攻击价值的身份验证和授权点，所述授权和身份验证机制包括用户访问控制、权限管理和认证过程；
通过搜索引擎查询、域名注册信息、子域名枚举和目录扫描，获取关于系统的信息和潜在漏洞；
根据系统与外部系统或服务的集成分析数据流向和数据共享的安全性和可信度，所述外部系统或服务包括第三方API接口、云服务和其他外部数据交互。
进一步的，构建高价值资产攻击路径具体包括：
对每个高价值资产根据其外部暴露面和数据流向确定出潜在的攻击点和攻击手段，形成攻击路径；
根据不同攻击场景和威胁模型，对攻击路径进行演练和模拟，以验证其可行性和攻击效果并优化和调整攻击路径。
进一步的，在构建攻击路径时考虑横向渗透，即通过攻击一部分系统组件或服务，获取访问其他高价值资产的权限。
进一步的，执行攻击路径测试和评估并输出渗透测试报告，具体包括：
针对每个攻击路径，按照预定的顺序和步骤，逐项进行攻击和渗透测试；；
在攻击过程中，记录攻击的详细过程、使用的工具和技术，以及攻击的结果和效果并记录攻击路径中的关键环节和攻击点，以评估其对高价值资产的威胁程度和系统的弱点；
在测试过程中，监测系统的响应和异常情况以及评估安全防御措施，所述监测系统的响应和异常情况包括系统是否能够及时检测和阻止攻击，是否存在异常行为的告警机制，以及是否有足够的日志记录和审计功能。
攻击测试完成后，对测试结果进行综合评估和分析，针对每个攻击路径和攻击点，评估其对高价值资产的威胁程度、攻击成功率以及可能导致的损失；同时，输出系统中存在的漏洞和薄弱环节，并生成相应的建议和改进措施。
进一步的，所述渗透测试报告包括：漏洞扫描和分析结果、使用的工具或脚本、每条攻击路径的测试情况、发现的安全问题的详细描述、影响程度评估和建议的修复措施、系统在保护高价值资产方面的强项和改进的建议。
本发明第二方面提供了一种基于高价值资产数据流的渗透测试系统，该系统包括：存储器、处理器，所述存储器中包括一种基于高价值资产数据流的渗透测试方法程序，所述一种基于高价值资产数据流的渗透测试方法程序被所述处理器执行时实现如下步骤：
利用架构文档、通信矩阵、账号列表获取系统架构信息；
识别预定义的高价值资产；
获取所述高价值资产的外部暴露面和数据流向并确定系统中与高价值资产相关的攻击路径；
构建高价值资产攻击路径；
执行攻击路径测试和评估并输出渗透测试报告。
本发明第二方面提供了一种计算机可读存储介质，所述计算机可读存储介质中包括基于高价值资产数据流的渗透测试方法程序，所述基于高价值资产数据流的渗透测试方法程序被处理器执行时，实现所述的一种基于高价值资产数据流的渗透测试方法的步骤。
与现有技术相比，本发明技术方案的有益效果是：
本发明基于系统的架构信息，通过识别预定义的高价值资产并利用高价值资产的外部暴露面和数据流向确定攻击路径，能够全面覆盖高价值资产受攻击的场景，同时能够针对性地进行渗透测试，进一步的可以提高系统的安全性，降低潜在的损失风险。
附图说明
图1为本发明实施例提供的一种基于高价值资产数据流的渗透测试方法流程图。
图2为本发明实施例提供的基于B/S架构的系统示意图。
具体实施方式
为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。
在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。
实施例1
如图1所示，本发明第一方面提供了一种基于高价值资产数据流的渗透测试方法，包括以下步骤：
S1利用架构文档、通信矩阵、账号列表获取系统架构信息；
需要说明的是，本发明适用于基于B/S架构的系统进行渗透测试，如图2所示为一种B/S架构的系统的示意图。本发明从白盒角度出发，基于系统的架构文档，以及工具扫描的外部暴露面以及web页面扫描结果，同时分析当前系统的高价值资产，结合暴露面和高价值资产以及系统总线架构形成攻击路径。可充分覆盖高价值资产受攻击的场景，充分保护系统高价值资产，保障系统损失最小。
首先，本发明通过解析架构文档、通信矩阵、账号列表得到系统的组件、模块和数据流向信息；通过分析系统的服务端和客户端架构，得到服务端和客户端的架构信息；同时通过上述架构文档、通信矩阵、账号列表确定系统中各个组件之间的交互方式和数据传输路径。
S2识别预定义的高价值资产；
需要说明的是，本发明通过以下方式识别出预定义的高价值资产，具体包括：
根据系统的功能和数据流程识别出高价值资产；例如可以从影响系统运行和业务成功的关键业务流程和核心功能识别出高价值资产，例如，系统业务功能是添加服务器到网管平台，那么在添加服务器这个业务流程中：web页面输入服务器账号密码信息，信息通过https传输到设备端，设备端进行权限校验，校验完成后，返回sessionid等鉴权信息给网管平台，那么对于上述功能，系统的高价值资产就是：web页面输入的账号密码，以及设备端返回的sessionid等鉴权信息。
分析系统中存储、处理和传输的数据，识别包含敏感信息、关键业务数据或知识产权的数据并作为高价值资产；
确定系统的关键资源将所述资源作为高价值资产，所述关键资源包括：核心模块、关键业务逻辑及访问控制机制；
确定系统的上下文环境，根据上下文环境对系统运行和业务成功的影响因子的大小将上下文环境作为高价值资产，所述上下文环境包括：与其他系统的接口、第三方集成和外部数据交互；
根据行业标准、安全准则以及法规和合规要求确定出高价值资产。
此外，在一个具体的实施例中，还可以通过与系统架构师、业务所有者和关键利益相关者的经验确定出系统中的高价值资产。
S3获取所述高价值资产的外部暴露面和数据流向并确定系统中与高价值资产相关的攻击路径；
需要说明的是，获取所述高价值资产的外部暴露面和数据流向包括：
利用网络工具系统进行外部暴露面分析确定系统暴露给外部世界的接口和服务，所述网络工具：网络端口扫描工具、服务识别工具和漏洞探测工具；
在一个具体的实施例中，可以采用nmap等工具扫描被测系统，得到服务端系统的开放端口情况，初步判断是否存在可以利用的外部端口；使用AWVS等web漏扫工具，对被测系统做页面遍历，此处遍历可以使用爬虫等工具录制页面url，AWVS也支持页面录制，需要说明的是，应尽可能全面覆盖涉及到高价值资产的页面和功能。
利用系统的架构文档、通信矩阵以及其他文档(例如微服务列表、账户列表)，获取系统中不同组件之间的数据流向、信息交换方式和数据处理过程；
利用系统的日志记录、网络流量监测和安全事件记录，获取系统当前的运行状态、数据传输路径和潜在的安全风险；
通过系统的授权和身份验证机制，确定具有潜在攻击价值的身份验证和授权点，所述授权和身份验证机制包括用户访问控制、权限管理和认证过程；
通过搜索引擎查询、域名注册信息、子域名枚举和目录扫描，获取关于系统的信息和潜在漏洞；
根据系统与外部系统或服务的集成分析数据流向和数据共享的安全性和可信度，所述外部系统或服务包括第三方API接口、云服务和其他外部数据交互。
结合步骤S2中识别的高价值资产，分析高价值资产所涉及的外部暴露面和数据流向，确定系统中与高价值资产相关的攻击路径。需要说明的是，通过细致的分析系统的外部暴露面和数据流向，可以获得系统的整体架构和信息流动的全貌，并能够识别出与高价值资产相关的潜在攻击路径。将为渗透测试提供重要的指导和方向，确保针对高价值资产的攻击和测试能够更加准确和全面。
S4构建高价值资产攻击路径；
需要说明的是，根据已得到的系统架构、外部暴露面和数据流向，结合步骤S中识别的高价值资产，开始构建高价值资产的攻击路径，具体包括：
对每个高价值资产根据其外部暴露面和数据流向确定出潜在的攻击点和攻击手段，形成攻击路径；
根据不同攻击场景和威胁模型，对攻击路径进行演练和模拟，以验证其可行性和攻击效果并优化和调整攻击路径。
需要说明的是，在构建攻击路径时考虑横向渗透，即通过攻击一部分系统组件或服务，获取访问其他高价值资产的权限。
需要说明的是，与传统渗透测试的区别在于，本发明方法基于对系统架构和高价值资产的深入理解，构建针对高价值资产的定制化攻击路径，强调对高价值资产的保护和损失最小化，而不仅仅是简单的扫描和攻击测试。在构建攻击路径时，还需考虑对系统的影响和风险控制，以确保测试过程不会对系统的正常运行和业务操作造成不可逆的损害。通过详细构建高价值资产的攻击路径，可以针对系统中的核心价值进行有针对性的测试，确保系统的高价值资产受到全面保护。同时，与传统渗透测试相比，本发明方法更加关注高价值资产的保护和损失最小化，提供了更有效的安全测试方案。
S5执行攻击路径测试和评估并输出渗透测试报告。
需要说明的是，步骤S5具体包括：
针对每个攻击路径，按照预定的顺序和步骤，逐项进行攻击和渗透测试；
在攻击过程中，记录攻击的详细过程、使用的工具和技术，以及攻击的结果和效果并记录攻击路径中的关键环节和攻击点，以评估其对高价值资产的威胁程度和系统的弱点；
在测试过程中，监测系统的响应和异常情况以及评估安全防御措施，所述监测系统的响应和异常情况包括系统是否能够及时检测和阻止攻击，是否存在异常行为的告警机制，以及是否有足够的日志记录和审计功能。
攻击测试完成后，对测试结果进行综合评估和分析，针对每个攻击路径和攻击点，评估其对高价值资产的威胁程度、攻击成功率以及可能导致的损失；同时，输出系统中存在的漏洞和薄弱环节，并生成相应的建议和改进措施。
需要说明的是，本发明通过执行确定的攻击路径，能够更全面地评估系统的安全性和高价值资产的保护程度。同时，通过详细记录和分析攻击过程，提供了有针对性的建议和改进方案，以加强系统的安全性和抵御潜在的威胁。通过执行攻击路径测试和评估，可以全面了解系统的安全性和高价值资产的保护情况，及时发现并修复潜在的漏洞和弱点，从而提升系统的整体安全水平和抵御能力。同时，这种方法也可以为企业提供有针对性的安全建议和措施，以保护核心资产免受潜在的威胁和损失。
在一个具体的实施例中，所述渗透测试报告包括：漏洞扫描和分析结果、使用的工具或脚本、每条攻击路径的测试情况、发现的安全问题的详细描述、影响程度评估和建议的修复措施、系统在保护高价值资产方面的强项和改进的建议。同时还会生成密切关注行业的安全趋势和最新的安全技术，及时采取相应的安全措施的建议。
本发明第二方面提供了一种基于高价值资产数据流的渗透测试系统，该系统包括：存储器、处理器，所述存储器中包括一种基于高价值资产数据流的渗透测试方法程序，所述一种基于高价值资产数据流的渗透测试方法程序被所述处理器执行时实现如下步骤：
S1利用架构文档、通信矩阵、账号列表获取系统架构信息；
需要说明的是，本发明适用于基于B/S架构的系统进行渗透测试，如图2所示为一种B/S架构的系统的示意图。本发明从白盒角度出发，基于系统的架构文档，以及工具扫描的外部暴露面以及web页面扫描结果，同时分析当前系统的高价值资产，结合暴露面和高价值资产以及系统总线架构形成攻击路径。可充分覆盖高价值资产受攻击的场景，充分保护系统高价值资产，保障系统损失最小。
首先，本发明通过解析架构文档、通信矩阵、账号列表得到系统的组件、模块和数据流向信息；通过分析系统的服务端和客户端架构，得到服务端和客户端的架构信息；同时通过上述架构文档、通信矩阵、账号列表确定系统中各个组件之间的交互方式和数据传输路径。
S2识别预定义的高价值资产；
需要说明的是，本发明通过以下方式识别出预定义的高价值资产，具体包括：
根据系统的功能和数据流程识别出高价值资产；例如可以从影响系统运行和业务成功的关键业务流程和核心功能识别出高价值资产，例如，系统业务功能是添加服务器到网管平台，那么在添加服务器这个业务流程中：web页面输入服务器账号密码信息，信息通过https传输到设备端，设备端进行权限校验，校验完成后，返回sessionid等鉴权信息给网管平台，那么对于上述功能，系统的高价值资产就是：web页面输入的账号密码，以及设备端返回的sessionid等鉴权信息。
分析系统中存储、处理和传输的数据，识别包含敏感信息、关键业务数据或知识产权的数据并作为高价值资产；
确定系统的关键资源将所述资源作为高价值资产，所述关键资源包括：核心模块、关键业务逻辑及访问控制机制；
确定系统的上下文环境，根据上下文环境对系统运行和业务成功的影响因子的大小将上下文环境作为高价值资产，所述上下文环境包括：与其他系统的接口、第三方集成和外部数据交互；
根据行业标准、安全准则以及法规和合规要求确定出高价值资产。
此外，在一个具体的实施例中，还可以通过与系统架构师、业务所有者和关键利益相关者的经验确定出系统中的高价值资产。
S3获取所述高价值资产的外部暴露面和数据流向并确定系统中与高价值资产相关的攻击路径；
需要说明的是，获取所述高价值资产的外部暴露面和数据流向包括：
利用网络工具系统进行外部暴露面分析确定系统暴露给外部世界的接口和服务，所述网络工具：网络端口扫描工具、服务识别工具和漏洞探测工具；
在一个具体的实施例中，可以采用nmap等工具扫描被测系统，得到服务端系统的开放端口情况，初步判断是否存在可以利用的外部端口；使用AWVS等web漏扫工具，对被测系统做页面遍历，此处遍历可以使用爬虫等工具录制页面url，AWVS也支持页面录制，需要说明的是，应尽可能全面覆盖涉及到高价值资产的页面和功能。
利用系统的架构文档、通信矩阵以及其他文档(例如微服务列表、账户列表)，获取系统中不同组件之间的数据流向、信息交换方式和数据处理过程；
利用系统的日志记录、网络流量监测和安全事件记录，获取系统当前的运行状态、数据传输路径和潜在的安全风险；
通过系统的授权和身份验证机制，确定具有潜在攻击价值的身份验证和授权点，所述授权和身份验证机制包括用户访问控制、权限管理和认证过程；
通过搜索引擎查询、域名注册信息、子域名枚举和目录扫描，获取关于系统的信息和潜在漏洞；
根据系统与外部系统或服务的集成分析数据流向和数据共享的安全性和可信度，所述外部系统或服务包括第三方API接口、云服务和其他外部数据交互。
结合步骤S2中识别的高价值资产，分析高价值资产所涉及的外部暴露面和数据流向，确定系统中与高价值资产相关的攻击路径。需要说明的是，通过细致的分析系统的外部暴露面和数据流向，可以获得系统的整体架构和信息流动的全貌，并能够识别出与高价值资产相关的潜在攻击路径。将为渗透测试提供重要的指导和方向，确保针对高价值资产的攻击和测试能够更加准确和全面。
S4构建高价值资产攻击路径；
需要说明的是，根据已得到的系统架构、外部暴露面和数据流向，结合步骤S中识别的高价值资产，开始构建高价值资产的攻击路径，具体包括：
对每个高价值资产根据其外部暴露面和数据流向确定出潜在的攻击点和攻击手段，形成攻击路径；
根据不同攻击场景和威胁模型，对攻击路径进行演练和模拟，以验证其可行性和攻击效果并优化和调整攻击路径。
需要说明的是，在构建攻击路径时考虑横向渗透，即通过攻击一部分系统组件或服务，获取访问其他高价值资产的权限。
需要说明的是，与传统渗透测试的区别在于，本发明方法基于对系统架构和高价值资产的深入理解，构建针对高价值资产的定制化攻击路径，强调对高价值资产的保护和损失最小化，而不仅仅是简单的扫描和攻击测试。在构建攻击路径时，还需考虑对系统的影响和风险控制，以确保测试过程不会对系统的正常运行和业务操作造成不可逆的损害。通过详细构建高价值资产的攻击路径，可以针对系统中的核心价值进行有针对性的测试，确保系统的高价值资产受到全面保护。同时，与传统渗透测试相比，本发明方法更加关注高价值资产的保护和损失最小化，提供了更有效的安全测试方案。
S5执行攻击路径测试和评估并输出渗透测试报告。
需要说明的是，步骤S5具体包括：
针对每个攻击路径，按照预定的顺序和步骤，逐项进行攻击和渗透测试；
在攻击过程中，记录攻击的详细过程、使用的工具和技术，以及攻击的结果和效果并记录攻击路径中的关键环节和攻击点，以评估其对高价值资产的威胁程度和系统的弱点；
在测试过程中，监测系统的响应和异常情况以及评估安全防御措施，所述监测系统的响应和异常情况包括系统是否能够及时检测和阻止攻击，是否存在异常行为的告警机制，以及是否有足够的日志记录和审计功能。
攻击测试完成后，对测试结果进行综合评估和分析，针对每个攻击路径和攻击点，评估其对高价值资产的威胁程度、攻击成功率以及可能导致的损失；同时，输出系统中存在的漏洞和薄弱环节，并生成相应的建议和改进措施。
需要说明的是，本发明通过执行确定的攻击路径，能够更全面地评估系统的安全性和高价值资产的保护程度。同时，通过详细记录和分析攻击过程，提供了有针对性的建议和改进方案，以加强系统的安全性和抵御潜在的威胁。通过执行攻击路径测试和评估，可以全面了解系统的安全性和高价值资产的保护情况，及时发现并修复潜在的漏洞和弱点，从而提升系统的整体安全水平和抵御能力。同时，这种方法也可以为企业提供有针对性的安全建议和措施，以保护核心资产免受潜在的威胁和损失。
在一个具体的实施例中，所述渗透测试报告包括：漏洞扫描和分析结果、使用的工具或脚本、每条攻击路径的测试情况、发现的安全问题的详细描述、影响程度评估和建议的修复措施、系统在保护高价值资产方面的强项和改进的建议。同时还会生成密切关注行业的安全趋势和最新的安全技术，及时采取相应的安全措施的建议。
本发明第三方面提供了一种计算机可读存储介质，所述计算机可读存储介质中包括基于高价值资产数据流的渗透测试方法程序，所述基于高价值资产数据流的渗透测试方法程序被处理器执行时，实现所述的一种基于高价值资产数据流的渗透测试方法的步骤。
显然，本发明的上述实施例仅仅是为清楚地说明本发明所作的举例，而并非是对本发明的实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明权利要求的保护范围之内。
Claims (10)
1.一种基于高价值资产数据流的渗透测试方法，其特征在于，包括以下步骤：
利用架构文档、通信矩阵、账号列表获取系统架构信息；
识别预定义的高价值资产；
获取所述高价值资产的外部暴露面和数据流向并确定系统中与高价值资产相关的攻击路径；
构建高价值资产攻击路径；
执行攻击路径测试和评估并输出渗透测试报告。
2.根据权利要求1所述的一种基于高价值资产数据流的渗透测试方法，其特征在于，利用架构文档、通信矩阵、账号列表获取系统架构信息，具体包括：
根据架构文档、通信矩阵、账号列表得到系统的组件、模块和数据流向信息；分析系统的服务端和客户端架构，得到服务端和客户端的架构信息；确定系统中各个组件之间的交互方式和数据传输路径。
3.根据权利要求1所述的一种基于高价值资产数据流的渗透测试方法，其特征在于，识别预定义的高价值资产，具体包括：
根据系统的功能和数据流程识别出高价值资产；
分析系统中存储、处理和传输的数据，识别包含敏感信息、关键业务数据或知识产权的数据并作为高价值资产；
确定系统的关键资源将所述资源作为高价值资产，所述关键资源包括：核心模块、关键业务逻辑及访问控制机制；
确定系统的上下文环境，根据上下文环境对系统运行和业务成功的影响因子的大小将上下文环境作为高价值资产，所述上下文环境包括：与其他系统的接口、第三方集成和外部数据交互；
根据行业标准、安全准则以及法规和合规要求确定出高价值资产。
4.根据权利要求1-3任一项所述的一种基于高价值资产数据流的渗透测试方法，其特征在于，获取所述高价值资产的外部暴露面和数据流向包括：
利用网络工具系统进行外部暴露面分析确定系统暴露给外部世界的接口和服务，所述网络工具：网络端口扫描工具、服务识别工具和漏洞探测工具；
利用系统的架构文档、通信矩阵以及其他文档，获取系统中不同组件之间的数据流向、信息交换方式和数据处理过程；
利用系统的日志记录、网络流量监测和安全事件记录，获取系统当前的运行状态、数据传输路径和潜在的安全风险；
通过系统的授权和身份验证机制，确定具有潜在攻击价值的身份验证和授权点，所述授权和身份验证机制包括用户访问控制、权限管理和认证过程；
通过搜索引擎查询、域名注册信息、子域名枚举和目录扫描，获取关于系统的信息和潜在漏洞；
根据系统与外部系统或服务的集成分析数据流向和数据共享的安全性和可信度，所述外部系统或服务包括第三方API接口、云服务和其他外部数据交互。
5.根据权利要求4所述的一种基于高价值资产数据流的渗透测试方法，其特征在于，构建高价值资产攻击路径具体包括：
对每个高价值资产根据其外部暴露面和数据流向确定出潜在的攻击点和攻击手段，形成攻击路径；
根据不同攻击场景和威胁模型，对攻击路径进行演练和模拟，以验证其可行性和攻击效果并优化和调整攻击路径。
6.根据权利要求5所述的一种基于高价值资产数据流的渗透测试方法，其特征在于，在构建攻击路径时考虑横向渗透，即通过攻击一部分系统组件或服务，获取访问其他高价值资产的权限。
7.根据权利要求1所述的一种基于高价值资产数据流的渗透测试方法，其特征在于，执行攻击路径测试和评估并输出渗透测试报告，具体包括：
针对每个攻击路径，按照预定的顺序和步骤，逐项进行攻击和渗透测试；
在攻击过程中，记录攻击的详细过程、使用的工具和技术，以及攻击的结果和效果并记录攻击路径中的关键环节和攻击点，以评估其对高价值资产的威胁程度和系统的弱点；
在测试过程中，监测系统的响应和异常情况以及评估安全防御措施，所述监测系统的响应和异常情况包括系统是否能够及时检测和阻止攻击，是否存在异常行为的告警机制，以及是否有足够的日志记录和审计功能。
攻击测试完成后，对测试结果进行综合评估和分析，针对每个攻击路径和攻击点，评估其对高价值资产的威胁程度、攻击成功率以及可能导致的损失；同时，输出系统中存在的漏洞和薄弱环节，并生成相应的建议和改进措施。
8.根据权利要求7所述的一种基于高价值资产数据流的渗透测试方法，其特征在于，所述渗透测试报告包括：漏洞扫描和分析结果、使用的工具或脚本、每条攻击路径的测试情况、发现的安全问题的详细描述、影响程度评估和建议的修复措施、系统在保护高价值资产方面的强项和改进的建议。
9.一种基于高价值资产数据流的渗透测试系统，其特征在于，该系统包括：存储器、处理器，所述存储器中包括一种基于高价值资产数据流的渗透测试方法程序，所述一种基于高价值资产数据流的渗透测试方法程序被所述处理器执行时实现如下步骤：
利用架构文档、通信矩阵、账号列表获取系统架构信息；
识别预定义的高价值资产；
获取所述高价值资产的外部暴露面和数据流向并确定系统中与高价值资产相关的攻击路径；
构建高价值资产攻击路径；
执行攻击路径测试和评估并输出渗透测试报告。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中包括基于高价值资产数据流的渗透测试方法程序，所述基于高价值资产数据流的渗透测试方法程序被处理器执行时，实现所述的一种基于高价值资产数据流的渗透测试方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310777631.3A CN116723028A (zh) | 2023-06-28 | 2023-06-28 | 基于高价值资产数据流的渗透测试方法、系统及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202310777631.3A CN116723028A (zh) | 2023-06-28 | 2023-06-28 | 基于高价值资产数据流的渗透测试方法、系统及存储介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN116723028A true CN116723028A (zh) | 2023-09-08 |
Family
ID=87869650
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202310777631.3A Pending CN116723028A (zh) | 2023-06-28 | 2023-06-28 | 基于高价值资产数据流的渗透测试方法、系统及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN116723028A (zh) |
-
2023
- 2023-06-28 CN CN202310777631.3A patent/CN116723028A/zh active Pending
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Shah et al. | An overview of vulnerability assessment and penetration testing techniques | |
| US7877780B2 (en) | System and method for enforcing functionality in computer software through policies | |
| Nirmal et al. | Web application vulnerabilities-the hacker's treasure | |
| Vats et al. | A comprehensive literature review of penetration testing & its applications | |
| CN116361807A (zh) | 风险管控方法、装置、存储介质及电子设备 | |
| Jan et al. | A framework for systematic classification of assets for security testing | |
| Yermalovich et al. | Formalization of attack prediction problem | |
| Dharam et al. | Runtime monitoring technique to handle tautology based SQL injection attacks | |
| Vieira et al. | Web security in the finance sector | |
| CN116723028A (zh) | 基于高价值资产数据流的渗透测试方法、系统及存储介质 | |
| Rodrigues et al. | Engineering secure web services | |
| Yushko et al. | Shielding web application against cyber-attacks using SIEM | |
| Kumar et al. | Generic security risk profile of e-governance applications—A case study | |
| Hai et al. | Evaluating the security levels of the Web-Portals based on the standard ISO/IEC 15408 | |
| Kurniawan et al. | Automation of Quantifying Security Risk Level on Injection Attacks Based on Common Vulnerability Scoring System Metric. | |
| Narang et al. | Severity measure of issues creating vulnerabilities in websites using two way assessment technique | |
| Sreenivasa Rao et al. | Web application vulnerability detection using dynamic analysis with peneteration testing | |
| Popa | Requirements of a better secure program coding | |
| CN117435508B (zh) | 接口测试方法、装置、设备及存储介质 | |
| MEHARU | WEB SECURITY VULNERABILITY ANALYSIS IN SELECTED ETHIOPIAN GOVERNMENTAL OFFICES (USING WHITE BOX AND BLACK BOX TESTING) | |
| Chen et al. | Security testing and compliance for online banking in real-world | |
| Khan et al. | Open Source Web-Based Software: Security Challenges and Assessment Methodologies | |
| CN117421253B (zh) | 接口安全测试方法、装置、设备及存储介质 | |
| Awang et al. | A survey on conducting vulnerability assessment in web-based application | |
| Mehta | Effective software security management |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |