• 

  分析準備階段

  确定項目評估範圍，調研客戶管理(lǐ)制度、主要業務系統和(hé)業務系統功能(néng)、網絡結構與網絡環境。
• 

  現(xiàn)狀評估階段

  通過信息系統資産識别，調研已有安全措施，确立組織的安全策略等活動，對(duì)信息系統進行詳細的全面摸底，并完成信息資産列表和(hé)資産價值賦值。
• 

  威脅評估

  從(cóng)物理(lǐ)、網絡、主機、數據、應用(yòng)五個層面分析信息資産可能(néng)面臨的威脅及手段，評估威脅産生的範圍和(hé)影響力，并進行賦值分析和(hé)列表。
• 

  脆弱性評估

  面向信息資産，采用(yòng)諸如安全訪談與檢查、系統漏洞掃描、WEB漏洞掃描、系統安全配置參數核查等多種脆弱性發現(xiàn)技術，充分發現(xiàn)信息系統的技術弱點、行爲弱點和(hé)管理(lǐ)弱點，并進行專家解讀和(hé)賦值，形成信息資産脆弱性清單和(hé)脆弱性賦值。
• 

  風(fēng)險分析階段

  通過量化信息資産價值、脆弱性和(hé)威脅，采用(yòng)标準風(fēng)險度量計(jì)算(suàn)方法計(jì)算(suàn)風(fēng)險，并根據風(fēng)險量化值分級排序，獲得信息系統風(fēng)險等級清單，進行信息安全風(fēng)險象限分析。
• 

  風(fēng)險處置階段

  在充分認知(zhī)和(hé)度量信息系統風(fēng)險的基礎上(shàng)，結合經驗分析，形成權威的安全評估報(bào)告，并對(duì)信息系統的風(fēng)險處置給出專家意見。

滲透測試需要服務人員盡可能(néng)完整的模拟黑客使用(yòng)的漏洞發現(xiàn)技術和(hé)攻擊手段，從(cóng)攻擊者的角度對(duì)目标網絡、系統、主機應用(yòng)的安全性作(zuò)爲深入的非破壞性的探測，發現(xiàn)系統最脆弱的環節。滲透測試能(néng)夠以非常明(míng)顯、直觀的結果反映出系統的安全現(xiàn)狀，其目的是能(néng)夠讓管理(lǐ)人員直觀的了(le)解自(zì)己網絡和(hé)系統所面臨的問題。

• 

  網絡方面

  針對(duì)該系統所在網絡層進行網絡拓撲的探測、路由測試、防火牆規則試探、規避測試、入侵檢測規則試探、規避測試、無線網安全、不同網段Vlan之間的滲透、端口掃描等存在漏洞的發現(xiàn)和(hé)通過漏洞利用(yòng)來(lái)驗證此種威脅可能(néng)帶來(lái)的損失或後果，并提供避免或防範此類威脅、風(fēng)險或漏洞的具體改進或加固措施。

  了(le)解更多
• 

  系統方面

  通過采用(yòng)适當的測試手段，發現(xiàn)測試目标在系統識别、服務識别、身份認證、數據庫接口模塊、系統漏洞檢測以及驗證等方面存在的安全隐患，并給出該種隐患可能(néng)帶來(lái)的損失或後果，并提供避免或防範此類威脅、風(fēng)險或漏洞的具體改進或加固措施。

  了(le)解更多
• 

  應用(yòng)方面

  通過采用(yòng)适當測試手段，發現(xiàn)測試目标在系統認證及授權、代碼審查、被信任系統的測試、文(wén)件接口模塊、應急流程測試、信息安全、報(bào)警響應等方面存在的安全漏洞,演示再現(xiàn)利用(yòng)該漏洞可能(néng)造成的客戶資金(jīn)損失，提供避免或防範此類威脅、風(fēng)險或漏洞的具體改進或加固措施。

  了(le)解更多
• 

  實施準備

  1、滲透測試方案及計(jì)劃;
  2、滲透測試方案的風(fēng)險規避。
• 

  信息搜集

  1、域名及IP分布;
  2、網絡拓撲、設備及操作(zuò)系統;
  3、端口及服務;
  4、應用(yòng)系統情況;
  5、最新漏洞情況;
  6、其他(tā)信息。
• 

  滲透實施

  1、獲取目标系統權限;
  2、利用(yòng)漏洞或後門(mén)木(mù)馬植入，獲取控制;
  3、跳闆滲透，進一步擴展攻擊成果;
  4、獲取敏感信息數據和(hé)資源。