全部科目 > 信息安全工程师 >
2022年下半年 上午试卷 综合知识
第 62 题
知识点 安全渗透测试   网络安全   网络安全渗透测试   评估  
章/节 网络安全风险评估技术方法与工具   网络安全测评技术与工具   网络信息安全目标与功能  
 
 
网络安全渗透测试的过程可以分为委托受理、准备、实施、综合评估和结题5个阶段,其中确认渗透时间,执行渗透方案属于()阶段。
 
  A.  委托受理
 
  B.  准备
 
  C.  实施
 
  D.  综合评估
 
 




 
 
相关试题     网络安全渗透测试 

  第64题    2020年下半年  
在安全评估过程中,采取(64)手段,可以模拟黑客入侵过程,检测系统安全脆弱性。

相关试题     安全渗透(安全渗透模型、安全渗透工具等) 

  第60题    2021年下半年  
安全渗透测试通过模拟攻击者对测评对象进行安全攻击,以验证安全防护机制的有效性。其中需要提供部分测试对象信息,测试团队根据所获取的信息,模拟不同级别的威胁者进行渗透测试,这属于()。

相关试题     腾讯云安全 

  第52题    2022年下半年  
以下网络安全漏洞发现工具中,具备网络数据包分析功能的是()。

  第4题    2021年下半年  
为防范国家数据安全风险,维护国家安全,保障公共利益,2021年7月,中国网络安全审查办公室发布公告,对“滴滴出行”“运满满”“货车帮”“BOSS直聘”开展网络安全审查。此次审查依据的国家相关..

  第46题    2022年下半年  
网络安全审计是指对网络信息系统的安全相关活动信息进行获取、记录存储、分析和利用的工作。在《计算机信息系统安全保护等级划分准则》(GB17859)中,不要求对删除客体操作具备安全审计功能的计算..

 
知识点讲解
· 安全渗透测试
· 网络安全
· 网络安全渗透测试
· 评估
 
        安全渗透测试
        安全渗透测试通过模拟攻击者对测评对象进行安全攻击,以验证安全防护机制的有效性。根据对测评对象掌握的信息状况,安全渗透测试可以分为三种类型。
               黑盒模型
               只需要提供测试目标地址,授权测试团队从指定的测试点进行测试。
               白盒模型
               需要提供尽可能详细的测试对象信息,测试团队根据所获取的信息,制订特殊的渗透方案,对系统进行高级别的安全测试。该方式适合高级持续威胁者模拟。
               灰盒模型
               需要提供部分测试对象信息,测试团队根据所获取的信息,模拟不同级别的威胁者进行渗透。该方式适合手机银行和代码安全测试。
               安全渗透测试常用的工具有Metasploit、字典生成器、GDB、Backtrack 4、Burpsuit、OllyDbg、IDA Pro等。
 
        网络安全
        . DDoS防护(Anti-DDoS)。提供DDoS高防包、DDoS高防IP等多种DDoS解决方案,应对DDoS攻击问题。通过充足、优质的DDoS防护资源,结合持续进化的“自研+AI智能识别”清洗算法,保障用户业务的稳定、安全运行。
        . 云防火墙。基于公有云环境的SaaS化防火墙,为用户提供互联网边界、VPC边界的网络访问控制,同时基于流量嵌入多种安全能力,实现访问管控与安全防御的集成化与自动化。
        . 网络入侵防护系统。通过旁路部署方式,无变更无侵入地对网络4层会话进行实时阻断,并提供了阻断API,方便其他安全检测类产品调用;此外,网络入侵防护系统提供全量网络日志存储和检索、安全告警、可视化大屏等功能,解决等保合规、日志审计、行政监管以及云平台管控等问题。
        . 腾讯云样本智能分析平台。依靠深度沙箱中自研的动态分析模块、静态分析模块以及稳定高效的任务调度框架,实现自动化、智能化、可定制化的样本分析;通过建设大规模分析集群,包括深度学习在内的多个高覆盖率的恶意样本检测模型,可以得知样本的基本信息、触发的行为、安全等级等信息,从而精准高效地对现网中的恶意样本进行打击。
 
        网络安全渗透测试
        网络安全渗透测试是指在获得法律授权后,模拟黑客攻击网络系统,以发现深层次的安全问题。其主要工作有目标系统的安全漏洞发现、网络攻击路径构造、安全漏洞利用验证等。常见的渗透测试集成工具箱有BackTrack 5、Metasploit、Cobalt Strike等。其中,Cobalt Strike是一个商业化渗透平台,提供网络敌手仿真和渗透操作。口令破解工具有John the Ripper、朔雪、brutus-aet2、Cain and Abel等。Web应用系统安全分析工具,如Webscarab、AppScan等。
 
        评估
        评估测试不只针对物理设备,更重要的是要评估、比较各种网络技术。通常使用模拟测试配置和模拟负载进行子系统(如路由器)和网络技术(如ATM或FDDI等)的评估。评估测试不适用于全局网络,因为全局网络拓扑负载、网络设备太多,不好准确定位引起问题的原因和位置,不能进行有效的比较。多数评估测试在专用的子网测试环境中进行。
        很多公司都有其固定合作的网络设备供应商,如路由器、集线器或交换机的供应商,通常很少再做设备比较测试,但网络技术的比较测试需要经常进行。企业经常面对选择哪种技术以及怎样比较不同技术的问题,所以技术评估是评估测试中很重要的一项。
        在比较设备与技术时,除了使用专用于待测设备或技术的工程负载外,有经验的程序员也使用真实负载,使用真实负载可以了解待测设备或技术在特定环境下的运行性能。通过两种负载模式检测结果的比较,可以获知待测设备还有多少多余容量。
        评估测试与设备或技术的功能/特征测试一样,用于比较待测设备或技术的性能、稳定性、特性、易用性配置和管理等方面的功能。
        评估测试实质是衰减测试的基础,评估测试中对几种设备或技术进行比较;衰减测试中对同一设备的不同版本进行比较。测试中选择设备的标准也完全可作为验证升级版本工作正常与否的标准。尽可能多地集成在计划/设计阶段进行测试是非常好的方法,最初的产品评估测试可以被开发阶段的可接受性测试和升级阶段的衰减性测试所借鉴。
        评估测试是最常进行的测试,在设备选型、技术选型,以及网络系统升级过程中都要进行或多或少的评估测试。
        用于评估测试的负载模式和测试脚本要能有效覆盖被检测的设备和技术。常使用最好情形(工程负载)和真实负载模式进行测试,两种方式都提供了唯一的、重要的检测结果,测试人员要能够理解、解释测试结果间的不同。
        工程检测结果是被测设备和技术在最理想的情形下测试得到的结果,因此不能在真实运行环境里显示它们的运行性能;真实检测结果能很好地显示待测设备或技术在运行网络环境中的性能,但无法预测设备的总容量。如果时间允许,两种测试都要做。通常测试人员只有时间进行一种测试,一般进行最好情形的测试。许多公开发行的测试报告都是基于最好情形(工程负载)下的测试结果。
        所有的测试配置都是模拟的。用于设备比较的测试配置不一定要代表运行网络的典型配置,任何有效、公正的测试配置都能对被测产品进行很好的比较。然而,测试配置和负载越接近运行网络的配置和负载,测试的结果越能反映被测设备在运行网络中的运行情况。
        在安装和配置测试网络时必须注意:要确保配置中所有测试组件都是最新版本,使测试尽可能地公正和统一,以取得最好的测试结果。在测试非正式版时一定要小心,因为发布日期经常有错误。测试配置中安装了非正式版后,它还可能会变,所以非正式版的测试结果和正式版的测试结果经常不一致,分析非正式版的设备经常会延误项目的进行。
        进行评估测试时,除了被测设备,测试配置中的所有网络组件都要保持不变。这一点非常重要,只有这样才能保证被测设备可以进行公平比较。对于子网,这一点很容易做到(一个网络设备很容易被另一个设备所替代)。
        网络技术评估要比较各种网络技术,因而测试配置中的几个网络组件都需要更换。重要的是不要改变源或目标配置。在配置中不仅通信线路需要更换,路由器也需要更换。传输负载和端点的配置要保持不变。
        需要评估测试计划中的各个测试任务,逐步完成测试、数据收集和数据解释。在评估测试中,各测试进行的先后次序没有关系,因为它们不是线性关系,而是多次重复进行的。当在测试中发现了新的信息时,以前所做的测试可能要重新进行以确定它的测试结果,或要对以前的测试稍作改变以检验网络运行的其他方面。此外,在评估期间设备提供商经常发布新的版本或非正式的版本,所以各种基于这种设备的测试都要重新进行。
        制定网络设备、技术比较或取舍标准时,不仅要参考评估测试所得的测试结果数据,还要综合考虑其他一些信息,如各设备的性能价格比,但由于没有运行网络的持续和峰值负载要求,所以缺少比较基准,往往将产品评估测试引入歧途。
        最后要根据评估测试所得的数据和图表对网络系统作出总结性评估,并撰写网络系统评估报告。



更多复习资料
请登录电脑版软考在线 www.rkpass.cn

京B2-20210865 | 京ICP备2020040059号-5
京公网安备 11010502032051号 | 营业执照
 Copyright ©2000-2023 All Rights Reserved
软考在线版权所有