五分鐘速讀資安掃描差異及導入經驗
在海棠設計經手過的專案種類眾多,無論是平台或是APP,資安一直是我們及客戶著重的必備項目,尤其在金融業 / 科技業,已有多次落實經驗,本篇分享常見導入資安驗證方式及差異。
專案驗收階段需要交付弱掃及壓測報告,那滲透測試、黑箱白箱又是什麼?如果對這些名詞有點熟悉又陌生,跟我一樣每個字都懂,拼湊在一起直接KO。五分鐘倒計時,開始!
首先,弱掃和壓測絕對是兩回事(廢話)
弱點掃描:使用自動化工具對網站、系統進行檢測
弱點掃描是針對已知的、可能存在的問題去做漏洞檢查,其範圍可以包涵整體系統、主機等。
- 確認範圍
- 資訊蒐集
- 弱點掃描
- 滲透測試
- 報告撰寫
依據上述步驟可以發現,弱點掃描是滲透測試的前一個步驟。
滲透測試:由測試員撰寫腳本,以惡意使用者思維嘗試入侵並找出漏洞
測試者可藉由弱點掃描結果驗證是否能夠利用這些弱點入侵,範圍較具有針對性。目的在於滲透系統找出漏洞,了解其損害程度。
不像弱點掃描,這世界上沒有自動化滲透測試流程,滲透測試需要使用工具,有時需要很多工具,然更重要是需要有資安知識與經驗的技術人員,所需時間依據需求範圍從星期到月而有所不同。
結論,滲透測試費用較弱點掃描貴很多🙃🙃
在壓力測試之前,可以先了解軟體測試
軟體測試:一種促進鑑定軟體的正確性、完整性、安全性和品質的過程
這是一個過程,每階段會有不同的測試種類及方法,可分為四個階段。
- 單元測試:針對最小單位、模組做檢驗測試。常用方法:白箱測試。
- 整合測試:對系統介面及功能整合後進行測試。常用方法:黑箱測試。
- 系統測試:檢測系統於實際環境下搭配硬、軟體是否能符合期待。測試內容包含功能、介面、性能、壓力、易用性等。常用方法:黑箱測試。
- 驗收測試:以使用者為主的測試。常用方法:黑箱測試。
專案開發過程需經過無數種類的內測,但是完全測試是不可能的,我們做不到完整、完美的檢測,只能盡可能地將風險降到最低,做到防患未然,所以不要再質疑為什麼開發時程開這麼長了啊(抹臉)
看到壓力測試了嗎,沒看到再倒回去看一下
壓力測試:讓系統在超過正常使用條件下測試其性能、可靠性、穩定性等
壓力測試是軟體測試的一種類型,透過對系統不斷施壓計算系統極限,判斷何為異常狀態,以及異常如何處理。
來自壓力測試的靈魂拷問,某個時間段網站突然湧入大量使用者,會發生什麼事?
測試結果會告訴你,系統在什麼狀況下會損壞,是否符合預期規格。
黑箱、白箱,到底是什麼顏色?
黑箱、白箱測試是軟體測試的方法。前面提到軟體測試階段分法時,有提到黑白箱,先來看認真又白話的解釋。
黑箱測試:測試者不需要了解內部結構,只考慮輸入和輸出
以使用者的角度出發,從外面看這個系統就像一個看不到內部結構的黑色盒子,直接以直觀反應測試確認介面、功能是否正確。
黑箱測試又稱為功能測試,作為沒有門檻的測試方式適合大部分軟體測試,測試者一般按照訂定規格、規則、需求進行驗證。
白箱測試:測試者了解軟體結構,從程式設計者角度進行測試
以程式設計角度出發,測試者清楚知道系統結構及邏輯,可建立測試案例確認所有可見流程都可以被執行。
和黑箱測試相反,由於需要擁有相關程式知識,甚至是由程式設計師來執行,因此白箱測試也較為複雜,但同時白箱測試也較容易實現自動化測試。
黑箱、白箱,只要能發現問題都是好箱
黑箱測試與白箱測試因為角度不同,較明顯的優缺點通常是相對的。例如因為是以使用者角度出發,黑箱測試時因操作介面、單元、流程需要耗費較多時間;而白箱測試是按照一般使用者情境測試,無法發現原本就遺漏的功能。
因此測試時不會只做單一方法使用,會經過交叉使用驗證系統規格。
分享到這邊,再講下去我會離家出走(喂)
如果有任何補充說明也可以分享讓我知道,有緣再見👋🏻