软件安全的7个接触点（4）――渗透测试

软件安全的7个接触点（4）――渗透测试

 

工件：处于环境中的系统
发现的风险的例子：在Web接口中处理程序状态的糟糕方法
    渗透测试非常有用，如果根据体系结构风险分析来设计测试，效果就更好。渗透测试的优点是，它给出了对处于真实运行环境中的实际部署的软件的很好的理解。但是，没有考虑软件体系结构的任何这类测试，或许都不能揭示关于软件风险的任何有用的信息。不能通过预构的应用程序安全测试工具所实施的封闭黑箱测试的软件肯定是非常糟糕的。因此，通过低层次的渗透测试，只能揭示出一点点软件的真实安全状况的信息，但是未能通过封闭的渗透测试，则说明你确实处于很糟糕的状况中（参见第1章）。

    渗透测试与进行测试的人员有关，这是它的一个缺陷。应该特别小心那些“改过自新的黑客”，他们改过自新的唯一证明只有一些自我描述。还要小心，网络渗透测试与应用程序或者软件所面临的渗透测试并不相同。如果你想正确地进行渗透测试，请参见第6章。

 

本文节选自电子工业出版社2008年3月出版的 《软件安全――使安全成为软件开发必需的部分》。

 

 

到当当网购买

到卓越网购买

到china-pub购买

 

浏览更多精彩文章>>

订阅软件安全电子期刊>>