以外部需要訪問的Web或應(yīng)用服務(wù)器為例，你應(yīng)該考慮與滲透測(cè)試人員共享這些應(yīng)用的源代碼，如果測(cè)試涉及這些腳本或程序的話。沒有源代碼，很難測(cè)試ASP或CGI腳本，事先認(rèn)定攻擊者根本不會(huì)看到源代碼是不明智的。Web服務(wù)器軟件里面的漏洞往往會(huì)把腳本和應(yīng)用暴露在遠(yuǎn)程攻擊者面前。如果能夠獲得應(yīng)用的源代碼，則可以提高測(cè)試該應(yīng)用的效率。畢竟，你出錢是為了讓滲透測(cè)試人員查找漏洞，而不是浪費(fèi)他們的時(shí)間。
滲透測(cè)試也許是你的網(wǎng)絡(luò)防御工具箱當(dāng)中的重要武器之一。應(yīng)該視之為各種安全審查的一部分，但要確保審查人員勝任這項(xiàng)工作。
還要確定的是，哪些系統(tǒng)需要測(cè)試。雖然你不想漏掉可能會(huì)受到攻擊的某個(gè)系統(tǒng)，但可能仍想分階段把滲透測(cè)試外包出去，以便每個(gè)階段專注于網(wǎng)絡(luò)的不同部分。
你還應(yīng)該制訂測(cè)試準(zhǔn)則，譬如說(shuō)：滲透測(cè)試人員可以探查漏洞并進(jìn)行測(cè)試，但不得利用，因?yàn)檫@可能會(huì)危及到你想要保護(hù)的系統(tǒng)。
為了從滲透測(cè)試上獲得*大價(jià)值，應(yīng)該向測(cè)試組織提供盡可能詳細(xì)的信息。這些組織同時(shí)會(huì)簽署保密協(xié)議，這樣，你就可以更放心地共享策略、程序及有關(guān)網(wǎng)絡(luò)的其它關(guān)鍵信息。
滲透測(cè)試可以用來(lái)向第三方，譬如投資方或者你的管理人員提供網(wǎng)絡(luò)安全狀況方面的具體證據(jù)。事實(shí)上，你知道網(wǎng)絡(luò)中存在的漏洞可能已有一段時(shí)日，但無(wú)法說(shuō)服管理人員分配必要資源以補(bǔ)救漏洞。光靠自己，網(wǎng)絡(luò)或安全管理員的意見往往不會(huì)被董事會(huì)采納。如果外面的顧問贊同你的評(píng)估，或許會(huì)有奇跡出現(xiàn)。

此外，你還要提供合適的測(cè)試途徑。如果你想測(cè)試在非軍事區(qū)（DMZ）里面的系統(tǒng)，*好的測(cè)試地方就是在同一個(gè)網(wǎng)段內(nèi)測(cè)試。讓滲透測(cè)試人員在防火墻外面進(jìn)行測(cè)試聽起來(lái)似乎更實(shí)際，但內(nèi)部測(cè)試可以大大提高發(fā)現(xiàn)防火墻原本隱藏的服務(wù)器安全漏洞的可能性。因?yàn)椋坏┓阑饓υO(shè)置出現(xiàn)變動(dòng)，就有可能暴露這些漏洞，或者有人可能通過漏洞，利用一臺(tái)DMZ服務(wù)器攻擊其它服務(wù)器。還記得尼姆達(dá)病毒嗎？它就是**攻擊得逞后、利用一臺(tái)Web服務(wù)器發(fā)動(dòng)其它攻擊的。
有關(guān)滲透測(cè)試的合同或工作說(shuō)明應(yīng)該包括你從所得報(bào)告中想要獲得的各個(gè)方面。如果你請(qǐng)人進(jìn)行有限的測(cè)試，得到的只是計(jì)算機(jī)生成的報(bào)告。而滲透測(cè)試的真正價(jià)值在于由報(bào)告所**出的分析。進(jìn)行測(cè)試的一方會(huì)詳細(xì)介紹發(fā)現(xiàn)結(jié)果，并說(shuō)明其重要性。在有的地方，測(cè)試人員還會(huì)提議采取何種補(bǔ)救方法，譬如更新服務(wù)器、禁用網(wǎng)絡(luò)服務(wù)、改變防火墻規(guī)則等等。
滲透測(cè)試旨在證明，網(wǎng)絡(luò)防御機(jī)制的運(yùn)行與你認(rèn)為的一樣良好。往往系統(tǒng)和網(wǎng)絡(luò)管理員視審查人員或滲透人員為敵人，但實(shí)際上他們卻是朋友。到位的滲透測(cè)試可以證明你的防御確實(shí)有效，或者查出問題，幫助你阻擋未來(lái)攻擊。出錢請(qǐng)自己知道的人來(lái)發(fā)現(xiàn)網(wǎng)絡(luò)中的漏洞，總比讓自己不知道的人發(fā)現(xiàn)漏洞好得多。
如今，大多數(shù)攻擊進(jìn)行的是*基本的漏洞掃描，如果攻擊得逞，目標(biāo)就岌岌可危。如果攻擊者企圖對(duì)你站點(diǎn)進(jìn)行漏洞掃描，他就會(huì)獲得大量的防火墻日志消息，而監(jiān)控網(wǎng)絡(luò)的任何入侵檢測(cè)系統(tǒng)（IDS）也會(huì)開始發(fā)送有關(guān)當(dāng)前攻擊的警報(bào)。如果你還沒有試過，不妨利用漏洞掃描器結(jié)合IDS對(duì)網(wǎng)絡(luò)來(lái)一番試驗(yàn)。別忘了首先獲得對(duì)方的許可，因?yàn)?，運(yùn)行漏洞掃描器會(huì)使IDS引發(fā)警報(bào)。


http://www.agrivod.com