19、渗透测试中的风险评估与团队管理

渗透测试中的风险评估与团队管理

1. 渗透测试风险评估方法

1.1 蒙特卡罗模拟

蒙特卡罗模拟这一术语源于摩纳哥的蒙特卡罗赌场，在风险评估中被创造出来，因为建模和模拟可用于在分析中引入随机性。专业渗透测试人员的主要职责之一是“跳出框框思考”，而使用蒙特卡罗模拟能迫使工程师做到这一点。

1.2 ISSAF方法

虽然项目管理知识体系（PMBOK）中描述的分析方法在专业渗透测试项目中很有用，但它们是通用的，适用于任何情况，但并非针对特定类型的项目量身定制。信息系统安全评估框架（ISSAF）提供了一些简单而有效的风险分配方法。

1.3 OSSTMM方法

开放源代码安全测试方法手册（OSSTMM）在分配风险时考虑了系统的三个方面：运营、控制和限制，以确定信息安全的总体风险。
|方面|具体要素|
| ---- | ---- |
|运营安全|可见性、访问、信任|
|控制|认证、赔偿、抵抗、征服、连续性、不可否认性、保密性、隐私、完整性|
|警报|安全性、漏洞、弱点、关注点、暴露、异常|

每个方面的组件根据各种标准分配值，如目标数量、每个系统上的认证方法数量和漏洞数量等。最后使用额外的数学公式来获得目标系统或网络的风险指标，反映对利益相关者业务的总体安全风险。其优点是系统安全的所有方面都反映在风险值中，但缺点是数学复杂性难以向利益相关者解释。

1.4 工具生成报告

许多自动化工具会为漏洞分配风险，可直接将这些风险转移到发送给利益相关者的报告中。例如，Nessus扫描器会为pWnOS服务器分配风险等级。使用第三方组