0
  • 聊天消息
  • 系统消息
  • 评论与回复
登录后你可以
  • 下载海量资料
  • 学习在线课程
  • 观看技术视频
  • 写文章/发帖/加入社区
会员中心
创作中心

完善资料让更多小伙伴认识你,还能领取20积分哦,立即完善>

3天内不再提示

基于攻防模式演练的渗透测试,助力产品安全

牵手一起梦 来源:C114通信网 作者:冯远兴 2020-01-26 16:12 2503次阅读

随着云计算、大数据、5G等技术的发展,全球电信网朝着用户个性化需求不断增强,业务类型不断拓展的方向迈进。用户需求和监管要求,都给网络安全带来了越发严峻的挑战。

打造安全的移动网络,就必须确保软件版本安全。正式软件版本发布前的安全检测,特别是基于攻防模式演练的渗透测试,是产品正式部署前一道必不可少的保护屏障。

渗透测试常见挑战

在渗透测试流程中,信息收集、漏洞探测、漏洞利用、横向渗透等众多步骤是以白帽子/专业安全测试人员采用手工方式进行,测试效果过于依赖个人的安全技能水平。

未来的攻击势必更加灵活多变,并且会利用新漏洞和新方法发起攻击行为。在这种情况下,原有的渗透测试方法和机制往往难以有效应对:一是过于依赖人工手动执行,测试效率低,渗透测试工具繁多不便于有效维护;二是测试人员无法聚焦和把控业界最新的安全技术。

智能化渗透助力产品安全

基于攻防模式演练的渗透测试,助力产品安全

图1 uSmartPen平台

中兴通讯uSmartPen实现渗透测试的工具整合和流程固化,实现了测试规划设计、部署和执行的自动化。如图1所示,其主要组件如下:

l渗透设计工具:根据渗透测试相关的范围和目标,汇总云平台、MANO、VNF以及测试工具等部署所需配置参数和资源要求,自动生成测试场景所需组件实例化参数文件;l自动化测试编排工具Fishbone:接收设计工具生成的实例化参数文件,完成硬件、云平台、MANO、VNF以及测试工具的部署资源准备;l智能测试学习平台(uSmartTest):在相关资源到位,所有组件完成部署后,通过之前定制测试工具对目标进行指定范围的渗透测试,并且使用xSE智能理解引擎和推理引擎迭代更新渗透测试的模型,完成自动化渗透测试和模型迭代的双重目标。

自动化测试编排工具Fishbone

如图2所示,Fishbone以鱼骨图的形式,将渗透各步骤实施分割组合,完成具体步骤个性定制,实现渗透测试的自动化编排。

基于攻防模式演练的渗透测试,助力产品安全

图2 Fishbone渗透测试编排

首先,将渗透测试的相关子步骤分拆,将信息收集、漏洞探测、漏洞利用、横向移动等四个步骤作为可配置步骤独立呈现。

其次,产品编排渗透测试时可以根据各自不同的特殊需求、目标以及使用的工具对各子步骤做个性化定制。比如,有些用户聚焦于目标系统本身的安全性而不关心目标所在网络的其余系统的安全状态,完全可以取消横向移动这一步骤。同样地,有些云服务用户专注于APP层面,无需关心硬件或者操作系统层面的安全威胁,就可以增加API级而取消底层系统级的渗透测试等。

最后,将定制的子步骤作为节点挂载到Fishbone自动化框架上,由该框架完成渗透测试的串接和编排。

智能测试学习平台(uSmartTest)

攻击者视角的ATT&CK安全架构

MITRE ATT&CK(Adversarial Tactics, Techniques, and Common Knowledge)是一个反映各类攻击生命周期的行为模型和知识库。ATT&CK对这些技术进行枚举和分类之后,能够用于后续对攻击者行为的“理解”。 依据该安全框架,匹配安全需求选择关键控制行为,对照ATT&CK模型排查当前测试模型检测能力,能否对这些行为有效覆盖;再根据排查结果完善检测能力;最后补充完善需要覆盖的攻击技术和战术,建立自身的渗透测试模型。

为了紧跟业界前沿,采用最新技术进行演练,中兴通讯从基于风险的威胁模型着手,分析可能的入侵和不良影响;然后引入MITRE ATT&CK框架,从攻击主体角度完善各种渗透测试战术和工具,建立符合自身的渗透模型。

智能引擎实现测试模型优化

中兴通讯从威胁模型着手,分析入侵和影响,利用智能引擎xSE分析攻击行为,推理攻击链条,迭代优化渗透测试模型。

首先使用ATT&CK在行为层进行建模,充分利用威胁情报的TTP进行知识共享;并在更宏观的程度对攻击者进行画像。下一步使用xSE智能引擎分析推理,将安全测试人员从具体的技术手段和指示器规则中解脱出来。

中兴智能引擎xSE实现理解引擎和推理引擎合一:使用理解引擎将海量告警转化为为相应的攻击行为,再使用推理引擎分析推导出这些攻击造成的危害,并结合攻击链进行攻击研判,快速迭代更新模型。

基于攻防模式演练的渗透测试,助力产品安全

图3 智能引擎xSE

总结

5G商用步伐加快,对产品的安全需求不断提高。中兴通讯立足于用户需求和业界前沿,实现对渗透测试相关的设计、规划、部署、执行以及迭代更新的全流程自动化,为网络安全运营提供全面高效支撑。

责任编辑:gt

声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉
  • 测试
    +关注

    关注

    8

    文章

    5373

    浏览量

    126935
  • 中兴通讯
    +关注

    关注

    7

    文章

    2009

    浏览量

    55292
  • 移动网络
    +关注

    关注

    2

    文章

    444

    浏览量

    32941
  • 5G
    5G
    +关注

    关注

    1356

    文章

    48503

    浏览量

    565493
收藏 人收藏

    相关推荐

    芯盾时代荣登17项细分领域榜单

    安全、数据安全治理(解决方案)、API安全、商用密码、UEBA、攻防演练、车联网、移动业务安全
    的头像 发表于 01-23 15:25 142次阅读

    Web安全渗透测试基础与实践

    在网络安全领域,Web渗透测试是发现Web应用漏洞的重要手段。下面介绍渗透测试的基础和实践。 信息收集是
    的头像 发表于 01-22 09:33 55次阅读

    电池的安全测试项目有哪些?

    选择更加安全可靠的电池产品,也能提高对电池安全性的信任。在电池技术日益进步的今天,安全测试仍将是确保电池
    的头像 发表于 12-06 09:55 594次阅读
    电池的<b class='flag-5'>安全</b>性<b class='flag-5'>测试</b>项目有哪些?

    是德科技助力三星电子验证FiRa 2.0安全测距测试用例

    是德科技(Keysight Technologies,Inc.)成功助力三星电子,在其Exynos Connect U100芯片组上验证了FiRa 2.0安全测试用例。此次验证得益于是德科技提供的超宽带 (UWB)
    的头像 发表于 11-18 10:08 227次阅读

    中海达出席广东省2024年度应急测绘保障与安全生产演练

    为进一步提升应急测绘保障工作能力与服务水平,强化测绘安全生产意识,推进应急测绘省市联动,广东省自然资源厅和汕尾市人民政府联合主办开展了广东省2024年度应急测绘保障与安全生产演练
    的头像 发表于 09-19 11:36 457次阅读

    “新一代”漏洞扫描管理系统:攻防演练不可或缺

    于保密与非密领域的分级保护、等级保护、业务连续性安全和大数据安全产品解决方案与相关技术研究开发的领军企业——国联易安自主研发出“新一代”漏洞扫描管理系统:国联统一系统脆弱性管理平台。平台在网络安全攻防
    的头像 发表于 09-18 17:21 357次阅读

    石头科技自清洁扫拖机器人产品通过TÜV南德网络安全渗透测试评估

    Ultra)进行产品网络安全渗透测试评估,其安全性符合相关行业标准。TÜV南德全球网络安全项目
    的头像 发表于 08-22 13:13 323次阅读

    国电西高产品助力电气安全性能测试

    电气安全性能测试主要有耐电压测试,绝缘电阻测试、接地电阻测试、漏电流测试等。这些
    的头像 发表于 08-20 19:30 714次阅读

    满足多场景多标准的通用多功能电气安全测试设备Profitest Prime AC

    ProfitestPrimeAC电气安全测试设备,满足多场景多标准,快速安全测试,可测量高电压电流及多种电气参数,支持多种RCD测试
    的头像 发表于 08-19 10:50 276次阅读
    满足多场景多标准的通用多功能电气<b class='flag-5'>安全</b><b class='flag-5'>测试</b>设备Profitest Prime AC

    红队攻防之快速打点

    导读: 在整个红队攻防体系中,打点是最基础也是最重要的一步。它对于红队在攻防比赛中取得快速和高效的进展至关重要。然而,在实际的攻防比赛中,由于资产数量庞大、红队人员稀缺以及时间紧迫等各种因素,导致
    的头像 发表于 05-27 10:20 283次阅读
    红队<b class='flag-5'>攻防</b>之快速打点

    红队攻防之JS攻防

    传递的参数加密了事,忽略很多系统本身存在的安全风险。本文以实战角度出发,介绍面对这种前端加密情况下的攻防技巧。   测 试 思 路 常见的JavaScript逆向相关的技巧,包括浏览器调试、Hook、AST、无限Debugger的绕过以及模拟调用Ja
    的头像 发表于 05-27 10:16 230次阅读
    红队<b class='flag-5'>攻防</b>之JS<b class='flag-5'>攻防</b>

    开关电源安全测试项目有哪些?如何测试

    总结而言,通过对开关电源进行过压保护、过流保护、短路保护、绝缘电阻测试、高压测试以及温升测试等一系列全面的安全性检测,可以充分评估电源的可靠性、安全
    的头像 发表于 05-23 17:41 1025次阅读
    开关电源<b class='flag-5'>安全</b>性<b class='flag-5'>测试</b>项目有哪些?如何<b class='flag-5'>测试</b>?

    地平线主动安全产品获国内首个ASIL B产品级功能安全认证

    近日,地平线主动安全产品Horizon Matrix Mono (以下简称 Mono)获得国内首个ISO 26262功能安全ASIL B产品级功能安全认证。该证书由国际公认的
    的头像 发表于 04-23 16:08 575次阅读
    地平线主动<b class='flag-5'>安全产品</b>获国内首个ASIL B<b class='flag-5'>产品</b>级功能<b class='flag-5'>安全</b>认证

    AI安全基准测试 v0.5: 聚焦通用聊天文本模型安全

    随着AI技术的快速发展,相关安全问题也日益凸显。仅过去数周内,便有LastPass公司遭遇音频深度伪造攻击等案例浮出水面。为了应对这一挑战,新推出的AI Safety基准测试将成为模型开发者的有力工具,助力他们构建更为稳固的
    的头像 发表于 04-19 11:12 457次阅读

    网络攻防模拟与城市安全演练 | 数字孪生

    在数字化浪潮的推动下,网络攻防模拟和城市安全演练成为维护社会稳定的不可或缺的环节。基于数字孪生技术我们能够在虚拟环境中进行高度真实的网络攻防模拟,为
    的头像 发表于 02-04 10:48 692次阅读
    网络<b class='flag-5'>攻防</b>模拟与城市<b class='flag-5'>安全</b><b class='flag-5'>演练</b> | 数字孪生