.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
本章將詳細介紹外部、DMZ、內部和關鍵資產的入網點的初始演練視角。初始視角是攻擊性安全評估的出發點，評估人員從此開始與目標系統進行交互，然後進行枚舉和漏洞利用。每種視角都會通過其在組織中評估和利用漏洞的能力進行對比。然後，根據攻擊面審查的效率和方式對這些視角進行比較。另外，文本還概述了每種視角的優缺點。在本章末尾，你就能了解不同的演練初始化點如何影響攻擊性安全評估，並了解CAPTR 團隊使用的關鍵資產視角是值得甚至是必要的。重要的是要注意，攻擊性安全評估是一個人工進行的過程，除了技術漏洞識別和利用工具外，還涉及情報和技能。初始視角幾乎影響手動攻擊性安全評估的所有方面，下面的分析將演示如何從不同的初始視角進行演練。下圖說明了演練中不同的初始視角。
外部初始演練視角外部演練視角是安全評估最傳統的出發點。外部演練初始視角通常從基於互聯網的入口開始，並將重點放在組織安全的外圍，如下圖所示。
DMZ 初始演練視角從DMZ的視角評估網絡需要從DMZ本身作為開始進行評估，重點不僅是從側面攻擊面向互聯網的服務器，而且還要評估從DMZ內部攻擊組織內部的能力。該視角評估的重點是確定對惡意攻擊者在DMZ內從一個DMZ託管的面向互聯網的設備轉移到另一個設備的能力以及攻擊者從DMZ移動到內部網絡的能力進行安全評估，如下圖所示。
內部初始演練視角內部視角使用網絡本身作為出發點。此視角通常通過網絡中機器上的用戶上下文來開展。在這個演練視角中，評估的重點是確定在該內部網絡中定位跳板機器和提升權限的能力，如下圖所示。
關鍵資產初始演練視角CAPTR 團隊從對組織構成最大風險的一個或多個存在點開始使用關鍵觀點。從這個視角進行評估的重點是識別此類設備的本地漏洞，這些漏洞可能使攻擊者入侵關鍵資產。然後，可以將評估擴展到組織中允許攻擊者轉向關鍵資產的點，並繼續向外擴展。第四種視角旨在緩解組織內網遭到破壞行為的影響，而不管允許攻擊者進入的漏洞或內部威脅的位置是否會影響這種評估視角。以入侵為目標開始安全評估，而不是評估潛在的起點，可以增強抵禦各種威脅的能力。該視角不同於內部初始視角，因為該視角是從CAPTR團隊範圍內確定的致命或關鍵資產點作為開始，而不僅僅是組織內的非特定特權或非特權訪問，如下圖所示。
對風險評估的影響為了比較和對比安全評估的四種不同初始視角，我接下來將對風險進行定量分析。影響面是衡量不同攻擊對象的破壞程度的指標。評級風險的另一部分是它發生的可能性。時間度量用於顯示可能性，它表示所花費的時間量，從給定的角度評估產生不同影響的信息折衷所需的時間。此評估還表明攻擊者可能也會這樣做。為了確定這些評估視角可能導致的結果的影響，我將影響分為四個級別，數字越高，表明該級別的設備如果受到攻擊，對組織的影響越大（見下圖）。 0級項目的影響可以忽略不計；3級項目對組織的存在和功能是致命的。為了確定每個視角可能識別的信息類型，我在下圖中創建了一個大圖，顯示了網絡的哪些部分可能在黑匣子中包含哪些級別的數據保護分類。
如前所述，可能性表示為從給定視角進行評估以確定具有給定影響面的結果所需的時間。例如，如果一個評估視角幾乎能夠立即找到具有給定保護級別的數據，那麼使用的視角很可能會評估該影響級別的風險。如果某個視角是需要花費時間並且通過跳板來訪問到不同的數據保護級別，則可能性很低。
重要的是要理解，評估過程中時間的流逝也可能會改變評估視角。評估可以從網絡的外部初始視角開始，然後通過漏洞利用，訪問DMZ中的設備。從這一點開始，評估就是多個攻擊角度的表示。隨著評估進一步深入網絡，該過程將繼續進行。所涉及的定義增量是時間、過渡視角和可能性。
對風險評估的影響：外部視角外部初始評估視角側重於網絡的外圍，只有在識別並利用組織最外層的漏洞後，才能轉移到組織的其他部分。因此，在評估的早期，很可能只有0級和1級相關的結果。時間可能允許演練通過深入網絡來破壞更高級別的數據；但是，因為這需要更長的測試時間，所以可能性被認為很低。下圖顯示了隨著評估時間的持續，這種視角的變化。
由於外部視角與網絡中的3級數據相距甚遠，因此到達這一點所需的時間較長，因此不太可能。儘管0級信息的影響很小，但幾乎可以肯定的是，這種可能性會產生與從這個視角發現的結果相關的中等風險。此視角不太可能產生更高級別的數據，因為它需要時間來發現其他漏洞，從而使該演練視角能夠深入組織。可能被評估的風險水平為低至中等。
對風險評估的影響：DMZ視角DMZ視角相對於外部視角具有優勢，因為它從組織的DMZ內已經存在的一個點開始，並且不必發現允許其從外網轉到DMZ的漏洞（見下圖）。
由於從這一角度進行評估不需要時間從外部角度進行內部分析，因此與高級別數據保護相關的發現更有可能，因為識別這些發現所需的時間較少，從而增加了發現有影響的威脅的可能性。 DMZ視角在評估中等風險水平方面具有最大潛力。
對風險評估的影響：內部視角從網絡中間存在點的初始視角來看，評估更有可能在1級和2級數據早期發現結果。與前面討論的兩種視角相比，這種視角還有一個副作用，即使用這種初始視角進行評估，實際上不太可能發現導致0級信息的發現。與前兩個視角一樣，從內部初始視角到能夠入侵3級數據的軸心需要時間。
下圖顯示，與0級數據一樣，從這一初始視角進行評估，要得出關於3級數據的調查結果，仍然需要時間。因此，最有可能找到風險等級1和2的數據。因為從這個視角來看，很快發現的漏洞不太可能破壞3級數據，所以它仍然不能代表對最高風險級別的有效評估。然而，內部視角顯然代表了大的潛在風險截面。
對風險評估的影響：關鍵視角使用關鍵初始視角的評估從網絡最有價值的地方開始。這意味著，與其他三個角度不同，3級數據被攻擊的結果在評估開始時確定。不幸的是，使用視角需要時間才能到達網絡中包含0到2級數據的點（見下圖）。
使用此視角可降低在評估期間發現1級和2級數據的可能性，且評估不太可能遇到0級數據的發現。關於一個組織的總體評估效率，這種初始視角在涵蓋所有風險級別時可能是最不有效的。它在查找級別3數據時非常有效，因為它從承載此類信息的設備開始。因此，這種評估視角更有可能發現導致3級數據被攻擊外洩的漏洞，因此，代表了評估組織面臨的最極端風險水平的能力。
對攻擊面覆蓋的影響下一步要在初始視角之間進行比較的是每個視角在評估期間審查攻擊面的能力。這是證明安全評估有效性的一個極其重要的屬性。儘管評估可能不會產生涵蓋極有價值的風險敞口的結果，但如果能夠評估組織的大部分攻擊面，評估仍然可能有效。攻擊面是能夠影響給定目標的任何實體或資產。安全評估的責任是通過評估漏洞來覆蓋攻擊面。但是，不能平等對待所有攻擊面，因為整個攻擊面的不同部分代表了對不同級別數據的潛在即時訪問。
例如，有一個更廣泛的攻擊面，由面向外網的面表示，因為它們受到的攻擊和枚舉嘗試次數要多得多。然而，正如已經顯示的那樣，允許訪問面向外網的服務器的漏洞最初可能並不一定會削弱組織。對每個初始視角如何影響攻擊面分析方式的剖析進一步說明了每個初始視角作為有效安全評估視角的情況，並展示了它們如何共同構成組織充分網絡安全評估的必要部分。
攻擊面覆蓋：外部視角組織中面向互聯網的部分是最容易暴露的，並且可以被最多的用戶和攻擊者訪問。因此，網絡的面向互聯網的層可以被歸類為具有最多的攻擊面。這裡存在的漏洞如果被利用，可能不會導致最嚴重的後果，但這是最有可能被發現的地方。大多數現代組織不得不承認，為互聯網用戶提供服務的本質增加了他們的風險。安全評估的外部視角為評估該攻擊面提供了最直接的方法，如下圖所示。
外部視角攻擊面評估
外部視角允許覆蓋組織的大片攻擊面。但是，如果在測試期間進行評估，那麼在評估深入到網絡之前還有一段時間。下圖顯示了評估的攻擊面（紅色部分），以及評估如何隨著時間推移過渡到攻擊面更深的部分。初始化時，第一個攻擊面金字塔（如下圖左側）顯示外部視角如何僅看到組織的外部攻擊面。中間金字塔表示從外部角度評估的中間部分，以及它將如何達到評估組織內部更深層次攻擊面的能力。右邊的金字塔顯示了評估的結束，以及它是如何檢查組織深層攻擊面的一部分，但不是全部。
攻擊面覆蓋：DMZ 視角在DMZ中開始評估消除了對漏洞的需要，從而使得評估人員繞過面向互聯網的防禦。因此，從這一視角進行的評估能夠更直接地評估DMZ中的其他設備，並通過橫向枚舉確定其脆弱性（見下圖）。
如上圖所示，DMZ演練視角在能夠開始評估DMZ中的設備之前不需要時間。它還能夠以比外部視角更快的方式開始探測內部網絡，因為外部視角是組織攻擊面的主體，在繼續之前必須首先解決。然而，這一評估視角面臨的一個潛在障礙是，它可能無法識別基於互聯網的掃描和攻擊存在的漏洞，因為DMZ中的設備應該與互聯網通信，而不是相互通信。
攻擊面覆蓋：內部視角內部視角承擔了內部威脅的責任，因此可以從網絡的更深層次入手，接觸到更多的攻擊面。這也意味著，與DMZ視角一樣，評估一個組織面對互聯網的威脅向量的能力並不容易實現，事實上，在這種情況下可能相當耗時（見下圖）。
內部視角攻擊面評估
內部演練視角的好處是，在直接環境中分析的攻擊面可能會導致漏洞的發現，這些漏洞可能會危害組織無意公開的數據。這與外部和DMZ評估觀點相反，外部和DMZ演練視角可能會在更大、更易訪問互聯網的攻擊面上發現許多意義不大的漏洞。
攻擊面覆蓋：關鍵視角關鍵視角分析了迄今為止一個組織最少的攻擊面。它與外部視角截然相反，外部視角在開始的時候就聚焦於一個非常大的面；關鍵視角關注的是優先部分。從這一點來看，假設從這個視角開始的評估能夠在任何合理的時間範圍內評估面向互聯網的服務是不現實的。該視角旨在提供與影響較大的對象相關的最危險攻擊面的最有效分析（見下圖）
關鍵視角攻擊面評估
關鍵視角評估接近組織攻擊面的不同部分的方式也與其他三個視角不同。例如，當IT部門在一個組織面向互聯網的周邊發現盡可能多的漏洞時，可以通過外部演練視角獲得最大的價值。這可能意味著評估人員不會利用已識別的漏洞深入組織，直到他們認為已對整個外部網絡進行了評估。這種嘗試的完整攻擊面覆蓋是其他評估視角的必要組成部分。關鍵資產視角不需要完全評估下一層。相反，關鍵視角將重點放在攻擊者如何將數據或機器轉移到無法接受的損失上。它不是尋找攻擊面上的所有漏洞，而是將重點放在那些使訪問能夠轉向致命和關鍵的風險項的點上。
全系列文章請查看：https://www.4hou.com/member/dwVJ