測試收集的外圍很首要，但報復(fù)打擊者可能已位于收集內(nèi)部。報復(fù)打擊者多是一名有不滿情感的員工，或是操縱防火墻內(nèi)辦事和周邊安然防御的外部人員。假定要測試內(nèi)部安然節(jié)制，那么您需要考慮多個方面，包含各類內(nèi)部測試、您可能希看利用的測試手藝和測試員工的首要性(社會工程測試)。
一個單位的內(nèi)部收集可能會遭到各類編制的檢測、闡發(fā)和報復(fù)打擊。一些最多見的內(nèi)部測試類型包含：
· 內(nèi)部報復(fù)打擊：這類滲入測試手藝可以摹擬由授權(quán)小我倡議的歹意勾當(dāng)，他有組織收集的合法連接。例如，假定拜候法則過分于寬松，那么IT治理員便可能將其他人擋在收集以外。
· 外部報復(fù)打擊：這類滲入測試手藝會查抄外部人員經(jīng)由過程寬松的辦事拜候內(nèi)部。它可能會報復(fù)打擊超文本傳輸和談(HTTP)、簡單郵件傳輸和談(SMTP)、布局化查詢說話(SQL)、長途桌面(RDP)或其他辦事。有一些在線辦事專門會發(fā)賣受限企業(yè)資本的拜候權(quán)限。
· 盜取設(shè)備報復(fù)打擊：這類報復(fù)打擊接近于物理報復(fù)打擊，因為它針對組織的設(shè)備。它可能會專門盜取CEO的筆記本電腦、智妙手機、復(fù)印機或單位的備份磁帶。不管是甚么設(shè)備，其方針都一樣：提取首要信息、用戶名和暗碼。
· 物理進進：這類測試手藝專門測試組織的物理節(jié)制。要對房門、大年夜門、鎖、保衛(wèi)、閉路電視(CCTV)和警報器進行測試，查抄它們是不是會被繞過。一種常常利用的編制是利用撞匙打開機械鎖，用Arduino板打開電子鎖。
· 繞過驗證報復(fù)打擊：這類測試手藝會尋覓無線接進端和調(diào)制解調(diào)器。其方針是體味系統(tǒng)是不是安然，并供給足夠的驗證節(jié)制。假定可以繞過節(jié)制，那么道德黑客可能會測驗測驗體味可以或許獲得哪一級別的系統(tǒng)節(jié)制。
滲入測試團隊的收集常識布局不合，所采取的測試手藝也會有所不合
· 墨盒測試可以摹擬外部報復(fù)打擊，因為外部人員凡是不知道所報復(fù)打擊收集或系統(tǒng)的內(nèi)部環(huán)境。簡單地說，安然團隊完全不體味方針收集及其系統(tǒng)。報復(fù)打擊者必需匯集關(guān)于方針的各類信息，然后才能肯定它的優(yōu)錯誤謬誤。
· 白盒測試則采取與墨盒測試完全相反的編制。這類安然測試的前提是，安然測試人員完全部會收集、系統(tǒng)和根本架構(gòu)。這類信息承諾安然測試人員采取一種更規(guī)范化的編制，它不但可以或許查看所供給的信息，還可以或許驗證它的準(zhǔn)確性。所以，當(dāng)然墨盒測試在匯集信息時會破鈔更長的時候，可是白盒測試則在縫隙檢測時破鈔更多時候。
· 灰盒測試有時辰指的是只體味部門環(huán)境的測試?；液袦y試人員只知道部門的內(nèi)部布局。
不管采取哪一種滲入測試編制，其目標(biāo)都是對組織的收集、策略和安然節(jié)制進行系統(tǒng)的查抄。一個杰出的滲入測試還可以查抄組織的社會成分。社會工程報復(fù)打擊的方針是組織的員工，其目標(biāo)是經(jīng)由過程把持員工獲得私密信息。近幾年來，良多成功的報復(fù)打擊案例都組合利用了社會和手藝報復(fù)打擊手段。Ghostnet和Stuxnet就是如許兩個例子。假定您需要在履行內(nèi)部滲入測試以后更新政策，那么一個很好的資本是SANS政策項目。要經(jīng)由過程杰出的節(jié)制、政策和流程對員工進行持久培訓(xùn)，才可以或許很好地匹敵這類報復(fù)打擊手段。