• 

  分析準備階段

  确定項目評估範圍，調研客戶管理制度、主要業務系統和業務系統功能(néng)、網絡結構與網絡環境。
• 

  現狀評估階段

  通過(guò)信息系統資産識别，調研已有安全措施，确立組織的安全策略等活動，對(duì)信息系統進(jìn)行詳細的全面(miàn)摸底，并完成(chéng)信息資産列表和資産價值賦值。
• 

  威脅評估

  從物理、網絡、主機、數據、應用五個層面(miàn)分析信息資産可能(néng)面(miàn)臨的威脅及手段，評估威脅産生的範圍和影響力，并進(jìn)行賦值分析和列表。
• 

  脆弱性評估

  面(miàn)向(xiàng)信息資産，采用諸如安全訪談與檢查、系統漏洞掃描、WEB漏洞掃描、系統安全配置參數核查等多種(zhǒng)脆弱性發(fā)現技術，充分發(fā)現信息系統的技術弱點、行爲弱點和管理弱點，并進(jìn)行專家解讀和賦值，形成(chéng)信息資産脆弱性清單和脆弱性賦值。
• 

  風險分析階段

  通過(guò)量化信息資産價值、脆弱性和威脅，采用标準風險度量計算方法計算風險，并根據風險量化值分級排序，獲得信息系統風險等級清單，進(jìn)行信息安全風險象限分析。
• 

  風險處置階段

  在充分認知和度量信息系統風險的基礎上，結合經(jīng)驗分析，形成(chéng)權威的安全評估報告，并對(duì)信息系統的風險處置給出專家意見。

滲透測試需要服務人員盡可能(néng)完整的模拟黑客使用的漏洞發(fā)現技術和攻擊手段，從攻擊者的角度對(duì)目标網絡、系統、主機應用的安全性作爲深入的非破壞性的探測，發(fā)現系統最脆弱的環節。滲透測試能(néng)夠以非常明顯、直觀的結果反映出系統的安全現狀，其目的是能(néng)夠讓管理人員直觀的了解自己網絡和系統所面(miàn)臨的問題。

• 

  網絡方面(miàn)

  針對(duì)該系統所在網絡層進(jìn)行網絡拓撲的探測、路由測試、防火牆規則試探、規避測試、入侵檢測規則試探、規避測試、無線網安全、不同網段Vlan之間的滲透、端口掃描等存在漏洞的發(fā)現和通過(guò)漏洞利用來驗證此種(zhǒng)威脅可能(néng)帶來的損失或後(hòu)果，并提供避免或防範此類威脅、風險或漏洞的具體改進(jìn)或加固措施。

  了解更多
• 

  系統方面(miàn)

  通過(guò)采用适當的測試手段，發(fā)現測試目标在系統識别、服務識别、身份認證、數據庫接口模塊、系統漏洞檢測以及驗證等方面(miàn)存在的安全隐患，并給出該種(zhǒng)隐患可能(néng)帶來的損失或後(hòu)果，并提供避免或防範此類威脅、風險或漏洞的具體改進(jìn)或加固措施。

  了解更多
• 

  應用方面(miàn)

  通過(guò)采用适當測試手段，發(fā)現測試目标在系統認證及授權、代碼審查、被(bèi)信任系統的測試、文件接口模塊、應急流程測試、信息安全、報警響應等方面(miàn)存在的安全漏洞,演示再現利用該漏洞可能(néng)造成(chéng)的客戶資金損失，提供避免或防範此類威脅、風險或漏洞的具體改進(jìn)或加固措施。

  了解更多
• 

  實施準備

  1、滲透測試方案及計劃;
  2、滲透測試方案的風險規避。
• 

  信息搜集

  1、域名及IP分布;
  2、網絡拓撲、設備及操作系統;
  3、端口及服務;
  4、應用系統情況;
  5、最新漏洞情況;
  6、其他信息。
• 

  滲透實施

  1、獲取目标系統權限;
  2、利用漏洞或後(hòu)門木馬植入，獲取控制;
  3、跳闆滲透，進(jìn)一步擴展攻擊成(chéng)果;
  4、獲取敏感信息數據和資源。