自動化滲透測試能否解決網(wǎng)絡(luò)安全技能差距

何靜

對于現(xiàn)代企業(yè)來說，現(xiàn)代威脅環(huán)境是一個巨大的挑戰(zhàn)。許多企業(yè)通過從最新的熱門供應(yīng)商那里購買最新的安全產(chǎn)品來解決"這個問題，并希望能以此為他們提供保護，但越來越多的人慢慢認(rèn)識到，這并不足以保護他們的組織。

自動化滲透測試和安全人才缺口

工具和掃描器很好用，但只能找到已知的漏洞，許多漏洞只有經(jīng)過培訓(xùn)的安全專家才能發(fā)現(xiàn)。不幸的是，缺乏訓(xùn)練有素、合格的安全專業(yè)人員加劇了組織面臨的挑戰(zhàn)。

安全人才的缺口并沒有變小，人們正在想出一些荒唐的想法來彌補這個缺口。最新的一個是自動滲透測試，這個想法的思路是以某種方式創(chuàng)建機器人來探測企業(yè)的防御系統(tǒng)并發(fā)現(xiàn)漏洞。但問題是，這與滲透測試的含義截然相反，真正的滲透測試不是自動掃描工作，而是利用有經(jīng)驗的網(wǎng)絡(luò)專家的創(chuàng)造性思維來進行的。

滲透測試的全部意義在于其具有創(chuàng)造性，從攻擊者的角度思考，并識別機器和其他預(yù)內(nèi)置邏輯無法識別的漏洞，從而領(lǐng)先網(wǎng)絡(luò)犯罪分子一步。當(dāng)我們教機器人識別和解決一些漏洞時，黑客會變得更有創(chuàng)意并找到新的漏洞來繞過這些自動檢查的檢測。

我們應(yīng)該盡可能多地自動化，但僅依賴于系統(tǒng)和網(wǎng)絡(luò)的自動化安全測試并不能保護企業(yè)。解決這個問題的唯一方法是與優(yōu)秀的網(wǎng)絡(luò)安全專業(yè)人員合作。

為什么思維方式的轉(zhuǎn)變是關(guān)鍵

安全團隊需要具有對抗性或黑客的思維方式，即他們必須像攻擊者一樣思考。他們需要領(lǐng)先于網(wǎng)絡(luò)犯罪分子一步，并就需要采取的重要行動及時向組織的其他成員提供建議。

并非每個漏洞都是顯而易見的。保護企業(yè)的最佳方法是讓防御者像攻擊者一樣思考，并在每次似乎遇到死胡同時更加努力，不要輕易放棄他們認(rèn)為沒有意義的事情。成功防御系統(tǒng)、網(wǎng)絡(luò)和應(yīng)用程序不僅需要了解攻擊者可以使用的工具，還需要了解他們?nèi)绾问褂眠@些工具以及何時使用。這需要大量的判斷力，多找一些問題，而這些問題無法通過自動化測試來完成。自動化測試的好壞取決于告訴他們要查找和執(zhí)行的操作，使安全變得困難的是，攻擊者每次都在做不同的新事情。

攻擊者不需要一個巨大的漏洞來影響組織———他們很有耐心，等待個人犯錯、通過網(wǎng)絡(luò)釣魚或社會工程進入。一旦進入，他們就會進入網(wǎng)絡(luò)或提升權(quán)限以獲得越來越多的敏感系統(tǒng)和數(shù)據(jù)。

嚴(yán)重的黑客攻擊和數(shù)據(jù)泄露通常始于小事故。由于大多數(shù)系統(tǒng)和網(wǎng)絡(luò)的設(shè)計沒有必要的安全防御機制，因此將一些小漏洞鏈接起來產(chǎn)生破壞性影響的情況并不少見。

此外，攻擊者不斷開發(fā)新的惡意軟件有效載荷并測試新的威脅載體。真正實現(xiàn)公平競爭的唯一方法是與對手一樣富有創(chuàng)造力和堅持不懈。防御者還需要及時了解最新的漏洞利用、黑客技術(shù)以及惡意軟件等。

縮小網(wǎng)絡(luò)安全技能差距

在網(wǎng)絡(luò)安全技能方面的差距是人的問題，但它不只是要找到足夠的人來操作的工具，這些工具本身是不夠的，所有工具都有保質(zhì)期，攻擊者找到解決方法只是時間問題。

如果真的要解決安全問題，需要加強對所有人的安全意識培訓(xùn)，需要培訓(xùn)設(shè)計和構(gòu)建系統(tǒng)以及網(wǎng)絡(luò)人員具有攻擊者思維。必須確保培訓(xùn)的安全專業(yè)人員能夠像攻擊者一樣思考，及時了解最新的漏洞利用和安全問題。

毫無疑問，我們需要更多合格的安全專業(yè)人員，解決人才短缺的問題沒有靈丹妙藥。不必成為IT專家即可進入安全領(lǐng)域，需要有一顆好奇的心，是一個創(chuàng)造性的問題解決者，愿意付出汗水來學(xué)習(xí)這門手藝，不要輕易放棄并繼續(xù)前進。

優(yōu)秀的候選人可以來自組織的許多部門，譬如系統(tǒng)管理員、網(wǎng)絡(luò)工程師、Web開發(fā)人員、客戶支持成員，甚至是應(yīng)屆畢業(yè)生。雖然他們無法一蹴而就，但他們將具備在安全方面取得成功的基本特征。

安全問題歸根結(jié)底是人的問題。掃描儀、工具和自動化測試可以提供幫助，但要真正解決這個問題，需要多層次的人類創(chuàng)造力來解決它。