Kann jemand die Sicherheit oder Penetration Testabdeckung verstehen?Wie kann man die Sicherheit oder Penetrationstestabdeckung kennen?
Ich fand die traditionelle Methode zur Messung der Funktionstestabdeckung ist nicht sehr nützlich für den Sicherheitstest. Denn für den Sicherheitstest müssen Sie eigentlich nicht alle Logikzweige abdecken. Wenn Sie die gesamten URLs und Parameter abdecken, decken Sie im Prinzip alles ab.
Irgendeine Idee?
Danke.
Eine mögliche Metrik für die Abdeckung einer Sicherheitsbewertung einer Webanwendung ist die Anzahl der getesteten Probleme. Auf ein Minimum sollten die OWASP Top 10-Probleme getestet werden, aber eine hohe Qualitätsbewertung wird die Geschäftslogik und anwendungsspezifische Probleme richtig beurteilen. Außerdem sollte der Tester ein Verständnis für bestimmte Technologien haben, die von der Webanwendung verwendet werden (z. B. Adobe Flash, Google Gears).
Penetrationstests sind eine Spezialtätigkeit, also sollten Sie ein vertrauenswürdiges und angesehenes Unternehmen für die Durchführung der Tests gewinnen. In Großbritannien wird das CHECK-Schema sehr respektiert, eine Liste der zertifizierten Unternehmen finden Sie hier: http://www.crest-approved.org/member_companies.php
Volle Offenlegung: Ich arbeite für Verizon Business, die Penetration Testing-Dienste anbieten.
haha. OK. Danke für deinen Rat. IC. – willpowerforever
Einverstanden, dass die OWASP Top 10 ein guter Start ist. Wie Tom implizierte: Sie müssen einem Pen-Tester vertrauen, um die Arbeit richtig zu machen. Sie können ein Tool verwenden, um alle URLs usw. einer Site zu verifizieren, aber Sie benötigen einen Menschen, um falsche Positive herauszufiltern und sein Wissen zu verwenden, um mehrere Indikatoren zu korrelieren, was dazu führen könnte, dass er eine (ausnutzbare) Sicherheitslücke findet. – reiniero
Sie könnten bessere Antworten auf security.stackexchange.com finden. Versuchen Sie, Ihre Frage dort zu posten. – Rap