測(cè)試收集的外圍很首要，但報(bào)復(fù)打擊者可能已位于收集內(nèi)部。報(bào)復(fù)打擊者多是一名有不滿(mǎn)情感的員工，或是操縱防火墻內(nèi)辦事和周邊安然防御的外部人員。假定要測(cè)試內(nèi)部安然節(jié)制，那么您需要考慮多個(gè)方面，包含各類(lèi)內(nèi)部測(cè)試、您可能?？蠢玫臏y(cè)試手藝和測(cè)試員工的首要性(社會(huì)工程測(cè)試)。
一個(gè)單位的內(nèi)部收集可能會(huì)遭到各類(lèi)編制的檢測(cè)、闡發(fā)和報(bào)復(fù)打擊。一些最多見(jiàn)的內(nèi)部測(cè)試類(lèi)型包含：
內(nèi)部報(bào)復(fù)打擊：這類(lèi)滲入測(cè)試手藝可以摹擬由授權(quán)小我倡議的歹意勾當(dāng)，他有組織收集的合法連接。例如，假定拜候法則過(guò)分于寬松，那么IT治理員便可能將其他人擋在收集以外。
外部報(bào)復(fù)打擊：這類(lèi)滲入測(cè)試手藝會(huì)查抄外部人員經(jīng)由過(guò)程寬松的辦事拜候內(nèi)部。它可能會(huì)報(bào)復(fù)打擊超文本傳輸和談(HTTP)、簡(jiǎn)單郵件傳輸和談(SMTP)、布局化查詢(xún)說(shuō)話(SQL)、長(zhǎng)途桌面(RDP)或其他辦事。有一些在線辦事專(zhuān)門(mén)會(huì)發(fā)賣(mài)受限企業(yè)資本的拜候權(quán)限。
盜取設(shè)備報(bào)復(fù)打擊：這類(lèi)報(bào)復(fù)打擊接近于物理報(bào)復(fù)打擊，因?yàn)樗槍?duì)組織的設(shè)備。它可能會(huì)專(zhuān)門(mén)盜取CEO的筆記本電腦、智妙手機(jī)、復(fù)印機(jī)或單位的備份磁帶。不管是甚么設(shè)備，其方針都一樣：提取首要信息、用戶(hù)名和暗碼。
物理進(jìn)進(jìn)：這類(lèi)測(cè)試手藝專(zhuān)門(mén)測(cè)試組織的物理節(jié)制。要對(duì)房門(mén)、大年夜門(mén)、鎖、保衛(wèi)、閉路電視(CCTV)和警報(bào)器進(jìn)行測(cè)試，查抄它們是不是會(huì)被繞過(guò)。一種常常利用的編制是利用撞匙打開(kāi)機(jī)械鎖，用Arduino板打開(kāi)電子鎖。
繞過(guò)驗(yàn)證報(bào)復(fù)打擊：這類(lèi)測(cè)試手藝會(huì)尋覓無(wú)線接進(jìn)端和調(diào)制解調(diào)器。其方針是體味系統(tǒng)是不是安然，并供給足夠的驗(yàn)證節(jié)制。假定可以繞過(guò)節(jié)制，那么道德黑客可能會(huì)測(cè)驗(yàn)測(cè)驗(yàn)體味可以或許獲得哪一級(jí)別的系統(tǒng)節(jié)制。
滲入測(cè)試團(tuán)隊(duì)的收集常識(shí)布局不合，所采取的測(cè)試手藝也會(huì)有所不合
黑盒測(cè)試可以摹擬外部報(bào)復(fù)打擊，因?yàn)橥獠咳藛T凡是不知道所報(bào)復(fù)打擊收集或系統(tǒng)的內(nèi)部環(huán)境。簡(jiǎn)單地說(shuō)，安然團(tuán)隊(duì)完全不體味方針收集及其系統(tǒng)。報(bào)復(fù)打擊者必需匯集關(guān)于方針的各類(lèi)信息，然后才能肯定它的優(yōu)錯(cuò)誤謬誤。
白盒測(cè)試則采取與黑盒測(cè)試完全相反的編制。這類(lèi)安然測(cè)試的前提是，安然測(cè)試人員完全部會(huì)收集、系統(tǒng)和根本架構(gòu)。這類(lèi)信息承諾安然測(cè)試人員采取一種更規(guī)范化的編制，它不但可以或許查看所供給的信息，還可以或許驗(yàn)證它的準(zhǔn)確性。所以，黑盒測(cè)試在匯集信息時(shí)會(huì)破鈔更長(zhǎng)的時(shí)候，白盒測(cè)試則在縫隙檢測(cè)時(shí)破鈔更多時(shí)候。
灰盒測(cè)試有時(shí)辰指的是只體味部門(mén)環(huán)境的測(cè)試?；液袦y(cè)試人員只知道部門(mén)的內(nèi)部布局。
不管采取哪一種滲入測(cè)試編制，其目標(biāo)都是對(duì)組織的收集、策略和安然節(jié)制進(jìn)行系統(tǒng)的查抄。一個(gè)杰出的滲入測(cè)試還可以查抄組織的社會(huì)成分。社會(huì)工程報(bào)復(fù)打擊的方針是組織的員工，其目標(biāo)是經(jīng)由過(guò)程把持員工獲得私密信息。近幾年來(lái)，良多成功的報(bào)復(fù)打擊案例都組合利用了社會(huì)和手藝報(bào)復(fù)打擊手段。Ghostnet和Stuxnet就是如許兩個(gè)例子。假定您需要在履行內(nèi)部滲入測(cè)試以后更新政策，那么一個(gè)很好的資本是SANS政策項(xiàng)目。要經(jīng)由過(guò)程杰出的節(jié)制、政策和流程對(duì)員工進(jìn)行持久培訓(xùn)，才可以或許很好地匹敵這類(lèi)報(bào)復(fù)打擊手