自動化滲透測試能否解決網絡安全技能差距

何靜

對于現代企業來說，現代威脅環境是一個巨大的挑戰。許多企業通過從最新的熱門供應商那里購買最新的安全產品來解決"這個問題，并希望能以此為他們提供保護，但越來越多的人慢慢認識到，這并不足以保護他們的組織。

自動化滲透測試和安全人才缺口

工具和掃描器很好用，但只能找到已知的漏洞，許多漏洞只有經過培訓的安全專家才能發現。不幸的是，缺乏訓練有素、合格的安全專業人員加劇了組織面臨的挑戰。

安全人才的缺口并沒有變小，人們正在想出一些荒唐的想法來彌補這個缺口。最新的一個是自動滲透測試，這個想法的思路是以某種方式創建機器人來探測企業的防御系統并發現漏洞。但問題是，這與滲透測試的含義截然相反，真正的滲透測試不是自動掃描工作，而是利用有經驗的網絡專家的創造性思維來進行的。

滲透測試的全部意義在于其具有創造性，從攻擊者的角度思考，并識別機器和其他預內置邏輯無法識別的漏洞，從而領先網絡犯罪分子一步。當我們教機器人識別和解決一些漏洞時，黑客會變得更有創意并找到新的漏洞來繞過這些自動檢查的檢測。

我們應該盡可能多地自動化，但僅依賴于系統和網絡的自動化安全測試并不能保護企業。解決這個問題的唯一方法是與優秀的網絡安全專業人員合作。

為什么思維方式的轉變是關鍵

安全團隊需要具有對抗性或黑客的思維方式，即他們必須像攻擊者一樣思考。他們需要領先于網絡犯罪分子一步，并就需要采取的重要行動及時向組織的其他成員提供建議。

并非每個漏洞都是顯而易見的。保護企業的最佳方法是讓防御者像攻擊者一樣思考，并在每次似乎遇到死胡同時更加努力，不要輕易放棄他們認為沒有意義的事情。成功防御系統、網絡和應用程序不僅需要了解攻擊者可以使用的工具，還需要了解他們如何使用這些工具以及何時使用。這需要大量的判斷力，多找一些問題，而這些問題無法通過自動化測試來完成。自動化測試的好壞取決于告訴他們要查找和執行的操作，使安全變得困難的是，攻擊者每次都在做不同的新事情。

攻擊者不需要一個巨大的漏洞來影響組織———他們很有耐心，等待個人犯錯、通過網絡釣魚或社會工程進入。一旦進入，他們就會進入網絡或提升權限以獲得越來越多的敏感系統和數據。

嚴重的黑客攻擊和數據泄露通常始于小事故。由于大多數系統和網絡的設計沒有必要的安全防御機制，因此將一些小漏洞鏈接起來產生破壞性影響的情況并不少見。

此外，攻擊者不斷開發新的惡意軟件有效載荷并測試新的威脅載體。真正實現公平競爭的唯一方法是與對手一樣富有創造力和堅持不懈。防御者還需要及時了解最新的漏洞利用、黑客技術以及惡意軟件等。

縮小網絡安全技能差距

在網絡安全技能方面的差距是人的問題，但它不只是要找到足夠的人來操作的工具，這些工具本身是不夠的，所有工具都有保質期，攻擊者找到解決方法只是時間問題。

如果真的要解決安全問題，需要加強對所有人的安全意識培訓，需要培訓設計和構建系統以及網絡人員具有攻擊者思維。必須確保培訓的安全專業人員能夠像攻擊者一樣思考，及時了解最新的漏洞利用和安全問題。

毫無疑問，我們需要更多合格的安全專業人員，解決人才短缺的問題沒有靈丹妙藥。不必成為IT專家即可進入安全領域，需要有一顆好奇的心，是一個創造性的問題解決者，愿意付出汗水來學習這門手藝，不要輕易放棄并繼續前進。

優秀的候選人可以來自組織的許多部門，譬如系統管理員、網絡工程師、Web開發人員、客戶支持成員，甚至是應屆畢業生。雖然他們無法一蹴而就，但他們將具備在安全方面取得成功的基本特征。

安全問題歸根結底是人的問題。掃描儀、工具和自動化測試可以提供幫助，但要真正解決這個問題，需要多層次的人類創造力來解決它。