安全服務

滲透測試服務

IT公司每天都面對著各種內部和外部惡意用戶及攻擊者,因此只能不斷增強、維護及改善內部網絡。雖然知道防禦系統能有效抵擋攻擊者,但仍將不斷加固安全防禦作為當務之急。

威聯集團會專門抽出時間來詳細了解客戶的業務,並且站在攻擊者角度考慮他們會採用哪種攻擊手段。這樣我們既可以對客戶有綜合全面的認識,又能對技術有充分的了解。根據預定目標,我們首先要識別最薄弱的環節,然後逐級識別,在攻破一個或多個防禦系統後,我們就可以獲得資訊或系統的存取權限。

我們採用自動及人工測試相結合的方法開展漏洞評估及滲透測試(VAPT)服務。我們首先會嘗試利用已識別漏洞以安全可控的方式獲取防火牆、網絡及相應設備、伺服器、物聯網、網上應用系統及其他連接點的存取權限。若我們成功利用了一個漏洞,安全分析師就會嘗試繼續挖掘利用,以便獲取更高存取權限,使用更多電子資產和資訊,進而增加立足點。

滲透測試的類型


網上應用系統滲透測試

我們可以針對可用於存儲及接達關鍵企業資訊的網上應用系統、網上服務及API開展綜合滲透測試,目的是識別並利用基於網絡的漏洞。我們的滲透測試工程師將利用精湛的技能和先進的技術對現代網上應用系統及下一代技術進行測試。


網絡及伺服器基礎設施滲透測試

此項服務用於評估內部或外部資訊資產是否具備抵禦攻擊的能力。我們擁有世界一流的滲透測試工程師,他們掌握了網絡罪犯的技術,因此在測試過程中,他們將類比攻擊者嘗試侵入客戶網絡、IT基礎設施及伺服器,旨在讓人們對漏洞及漏洞利用的影響有更直觀的認識,同時加強終端用戶遵守安全政策的意願。


流動應用程式安全評估

流動應用程式評估可以識別流動計算環境下特有的漏洞,比如開放網路應用程式安全計劃(OWASP)及其他新興行業標準公佈的漏洞。


無線網絡滲透測試

從傳統的Wi-Fi網絡測試到專業的無線系統測試,我們可以為客戶提供全方位的無線網絡滲透測試服務,包括識別及利用漏洞,然後針對已識別弱點提供相應的改進建議。

我們的滲透測試方法

我們的漏洞評估及滲透測試(VAPT)方法是依託OWASP測試指引、開放源碼安全測試方法手冊(OSSTMM)及滲透測試執行標準(PTES)設計形成的一套方案流程:
準備
偵察
映射
漏洞發現
漏洞利用
分析及報告

滲透測試的測試對象是什麼?

我們的漏洞評估及滲透測試(VAPT)工作主要包括以下三個階段:
主動及被動偵察

此階段的工作主要是資訊收集,識別相關組件資訊,例如操作系統、正在運行的服務、軟件版本等。以下為受測試項目的不完全列表,我們藉此可以模擬設計更嚴謹的攻擊方案,提升攻擊成功率:

  • 開放域名搜索
  • DNS調查
  • 公開資訊搜索(搜尋器、社交網絡、新聞組等)
  • 網絡枚舉
  • 連接埠掃描、操作系統指紋識別及版本掃描
  • 防火牆枚舉


漏洞識別

除了CWE/SANS公佈的危險性最高的25個軟件錯誤 and OWASP公佈的危險性最高的十個漏洞外,此項評估還會依據漏洞庫中的80,000多種漏洞評估資訊資產,同時進行配置檢查。威聯集團將部署多個漏洞掃描器,再輔之以人工檢測,對可透過網絡接達的服務進行測試,如SMTP、HTTP、FTP、SMB、SSH、SNMP、DNS等,以識別是否存在以下類型的漏洞(不完全列表):

服務端利用

  • 遠端代碼執行
  • 緩衝區滿溢
  • 代碼插入
  • 網上應用系統漏洞(XSS、SQLi、XXE、CSRF、LFI、RFI等)

網絡操縱及利用

  • 虛擬局部區域網絡跳躍攻擊
  • ARP仿冒
  • HSRP/VRRP中間人(MiTM)攻擊
  • 路由規約MiTM

身份識別及認證弱點利用

  • 預設用戶名及密碼
  • 安全水平較弱易於猜測的用戶憑證

提權

  • 競態條件
  • 內核攻擊
  • 高許可權程式或服務的本地利用

漏洞利用

安全分析工程師將採用自動及人工測試相結合的方法,利用「漏洞識別」階段識別的漏洞,以可控方式獲取目標系統的存取權限。

Penetration Testing Exploitation Examples

網上應用系統的輔助測試方法

威聯集團可對網上應用系統開展以下形式的網上應用系統滲透測試:

網上應用系統黑盒滲透測試

黑盒測試是在不了解待測試資訊資產內部工作原理、源碼及系統架構的前提下對系統展開測試的方法。這種測試方法可以更真實地模仿攻擊者,了解他們一般如何對網上應用系統發起攻擊。但是,由於不了解應用系統,缺陷及/或漏洞檢測比較費時費力,並且不會完全了解應用系統的安全狀況。


網上應用系統灰盒滲透測試

灰盒測試是在對目標資產有一定了解的前提下對系統開展測試的方法。但此了解通常僅限於應用系統的URL及與用戶職位相對應的用戶憑證。灰盒測試可以基於對目標系統的預先了解理清各項工作的輕重主次,做好工作規劃。加深對系統的了解可以讓檢測工作事半功倍,在大幅減少工作量的同時識別更多重大漏洞,並且可以讓分析工程師更近距離地分析理解攻擊者在應用評估方面相比安全專業人員具有的優勢。滲透測試工程師可以透過註冊測試對網上應用系統進行全面評估,檢測是否存在潛在漏洞。此外,測試工程師在此階段要檢查是否存在可能導致縱向及/或橫向提權的應用許可權弱點。


網上應用系統白盒滲透測試

白盒測試是在對目標系統全面了解的情況下開展測試的方法。威聯集團的白盒滲透測試服務由灰盒測試+安全代碼審查構成。此類評估可以全面了解應用系統及基礎設施的安全狀態。

透過我們的服務您可以獲得什麼?

最終報告將載列所有評估結果,然後根據資訊科技和網絡安全國際標準對比優、缺點。我們會對識別的弱點進行評估,同時提出相應的建議和補救措施,並根據相關風險等級進行排序。向您匯報評估結果時,我們將對最終報告進行討論。報告包含對已開展的安全審計或滲透測試作出之全面、簡明的執行摘要。此外,報告將詳細闡述所有評估結果,並提供相應證據及未來安全措施建議。

wizlynx group vulnerability assessment and penetration testing (VAPT) Report

滲透測試最新項目

Multinational Insurance Firm
2019

Penetration Test of a web application allowing our customer's employees to create leads and quotes for life insurances.


Software Development Company
2019

Mobile App Security Assessment of a cash register / Mobile Point-of-Sale (mPOS) running on iOS Apple iPad.


Publisher
2019

Web App Penetration Test of a two apps supporting our customer's daily business.


關於威聯VAPT項目的完整清單,請瀏覽我們的網站:https://www.wizlynxgroup.com/sg/cyber-security-singapore/penetration-test-references

Wizlynx Cyber Security Limited是威聯集團的成員公司,是一家獲全球CREST認證的滲透測試服務供應商,擁有獲CREST認證的滲透測試員。服務範圍主要涵蓋、香港及東南亞地區。


了解更多關於CREST的資訊以及聘請認可滲透測試服務供應商的裨益

我們的滲透測試認證資質

威聯的安全顧問和滲透測試工程師均持有網絡安全和滲透測試行業最具含金量的資質證書,例如:SANS/GIAC GPEN、GWAPT、GCIH、GMOB、OSCP、CEH、CISSP、CISA等。

Penetration Test | Offensive Security Certified Professional | OSCP
Penetration Test | GIAC Certified Penetration Tester | GPEN
Information Security | GIAC Expert Researcher and Advanced Penetration Tester | GXPN
Penetration Test | CREST Certified Penetration Tester | CREST
Penetration Test | GIAC Web App Pen Tester | GWAPT
Penetration Test | GIAC Mobile Device Security Analyst | GMOB
Penetration Test | Offensive Security Certified Expert | OSCE
頁首