ສະຫຼຸບຈາກ Kali Linux Guide ໂດຍ OnWorks

ໃຫ້ຂ້າມໄປຫາເນື້ອໃນ

11.5. ສະຫຼຸບ

ໃນບົດນີ້, ພວກເຮົາໄດ້ພິຈາລະນາໂດຍຫຍໍ້ກ່ຽວກັບບົດບາດຂອງ Kali ໃນຂົງເຂດຄວາມປອດໄພຂອງຂໍ້ມູນ. ພວກເຮົາໄດ້ປຶກສາຫາລືກ່ຽວກັບຄວາມສໍາຄັນຂອງການຕິດຕັ້ງທີ່ສະອາດ, ເຮັດວຽກແລະການນໍາໃຊ້ການເຂົ້າລະຫັດກ່ອນທີ່ຈະອອກໄປຫາພາກສະຫນາມເພື່ອປົກປ້ອງຂໍ້ມູນຂອງລູກຄ້າຂອງທ່ານແລະຄວາມສໍາຄັນຂອງການເປັນຕົວແທນທາງດ້ານກົດຫມາຍເພື່ອປົກປ້ອງທ່ານແລະຜົນປະໂຫຍດຂອງລູກຄ້າຂອງທ່ານ.

ອົງປະກອບຂອງ CIA (ຄວາມລັບ, ຄວາມຊື່ສັດ, ການມີຢູ່) triad ແມ່ນບັນດາລາຍການຕົ້ນຕໍທີ່ທ່ານຈະສຸມໃສ່ໃນເວລາທີ່ຮັບປະກັນລະບົບເປັນສ່ວນຫນຶ່ງຂອງການປະຕິບັດມາດຕະຖານ, ການບໍາລຸງຮັກສາ, ຫຼືການປະເມີນ. ພື້ນຖານແນວຄວາມຄິດນີ້ຈະຊ່ວຍເຈົ້າໃນການກໍານົດຂອງ com- ທີ່ສໍາຄັນ.

ponents ຂອງລະບົບຂອງທ່ານແລະຈໍານວນຄວາມພະຍາຍາມແລະຊັບພະຍາກອນທີ່ຕົກເປັນມູນຄ່າການລົງທຶນໃນການແກ້ໄຂບັນຫາທີ່ກໍານົດ.

ພວກເຮົາໄດ້ປຶກສາຫາລືຫຼາຍປະເພດຂອງຊ່ອງໂຫວ່ລວມທັງການລວມໄຟລ໌, ການສີດ SQL, buffer over-flows, ແລະສະພາບການເຊື້ອຊາດ.

ຄວາມຖືກຕ້ອງຂອງລາຍເຊັນແມ່ນມີຄວາມສຳຄັນທີ່ສຸດເພື່ອໃຫ້ໄດ້ຜົນການປະເມີນຄວາມສ່ຽງທີ່ມີປະໂຫຍດ. ຂໍ້ມູນທີ່ສະຫນອງໃຫ້ຫຼາຍ, ໂອກາດສູງທີ່ຈະມີຜົນໄດ້ຮັບທີ່ຖືກຕ້ອງຈາກການສະແກນລາຍເຊັນແບບອັດຕະໂນມັດ, ຊຶ່ງເປັນເຫດຜົນທີ່ວ່າການສະແກນຄວາມຖືກຕ້ອງມັກຈະເປັນທີ່ນິຍົມ.

ເນື່ອງຈາກເຄື່ອງມືອັດຕະໂນມັດໃຊ້ຖານຂໍ້ມູນຂອງລາຍເຊັນເພື່ອກວດຫາຊ່ອງໂຫວ່, ການບ່ຽງເບນເລັກນ້ອຍຈາກລາຍເຊັນທີ່ຮູ້ຈັກສາມາດປ່ຽນແປງຜົນໄດ້ຮັບ ແລະເຊັ່ນດຽວກັນ ຄວາມຖືກຕ້ອງຂອງຊ່ອງໂຫວ່ທີ່ຮັບຮູ້ໄດ້.

ພວກເຮົາຍັງໄດ້ປຶກສາຫາລືກ່ຽວກັບສີ່ປະເພດຂອງການປະເມີນ: ໄດ້ ການປະເມີນຄວາມອ່ອນແອ, ການທົດສອບການປະຕິບັດຕາມ, ການທົດສອບການເຈາະແບບດັ້ງເດີມ, ແລະ ການປະເມີນຜົນຄໍາຮ້ອງສະຫມັກ. ເຖິງແມ່ນວ່າການປະເມີນແຕ່ລະປະເພດໃຊ້ເຄື່ອງມືຫຼັກໆ, ເຄື່ອງມື ແລະເຕັກນິກຫຼາຍອັນຊໍ້າຊ້ອນກັນ.

ການປະເມີນຄວາມອ່ອນແອແມ່ນຂ້ອນຂ້າງງ່າຍດາຍໃນການປຽບທຽບກັບປະເພດການປະເມີນອື່ນໆ ແລະມັກຈະປະກອບດ້ວຍບັນຊີລາຍການອັດຕະໂນມັດຂອງບັນຫາທີ່ຄົ້ນພົບພາຍໃນສະພາບແວດລ້ອມເປົ້າໝາຍ. ໃນພາກນີ້, ພວກເຮົາໄດ້ສົນທະນາວ່າຈຸດອ່ອນແມ່ນຂໍ້ບົກພ່ອງທີ່, ເມື່ອຖືກຂູດຮີດ, ຈະເຮັດໃຫ້ຄວາມລັບ, ຄວາມຊື່ສັດ, ຫຼືການມີລະບົບຂໍ້ມູນຂ່າວສານ. ເນື່ອງຈາກວ່າມັນເປັນລາຍເຊັນ, ການປະເມີນປະເພດນີ້ອີງໃສ່ລາຍເຊັນທີ່ຖືກຕ້ອງແລະສາມາດນໍາສະເຫນີຂໍ້ດີແລະລົບທີ່ບໍ່ຖືກຕ້ອງ. ທ່ານຈະຊອກຫາເຄື່ອງມືຫຼັກສໍາລັບການປະເມີນປະເພດນີ້ຢູ່ໃນ ການວິເຄາະຄວາມອ່ອນແອ ແລະ ເຄື່ອງມືການຂູດຮີດ ໝວດໝູ່ເມນູຂອງ Kali Linux.

ການທົດສອບການປະຕິບັດຕາມແມ່ນອີງໃສ່ຂໍ້ກໍານົດຂອງລັດຖະບານແລະອຸດສາຫະກໍາທີ່ກໍານົດ (ເຊັ່ນ: PCI DSS, DISA STIG, ແລະ FISMA), ເຊິ່ງແມ່ນອີງໃສ່ກອບການປະຕິບັດຕາມ. ການທົດສອບນີ້ມັກຈະເລີ່ມຕົ້ນດ້ວຍການປະເມີນຄວາມອ່ອນແອ.

ການທົດສອບການເຈາະແບບດັ້ງເດີມແມ່ນການປະເມີນຄວາມປອດໄພຢ່າງລະອຽດທີ່ຖືກອອກແບບມາເພື່ອປັບປຸງທ່າທາງຄວາມປອດໄພໂດຍລວມຂອງອົງການຈັດຕັ້ງໂດຍອີງໃສ່ໄພຂົ່ມຂູ່ທີ່ແທ້ຈິງບາງຢ່າງ. ປະເພດຂອງການທົດສອບນີ້ປະກອບມີຫຼາຍຂັ້ນຕອນ ( mirrored ໂດຍໂຄງສ້າງເມນູ Kali Linux) ແລະ culminates ໃນການຂຸດຄົ້ນຊ່ອງໂຫວ່ແລະ pivoting ການເຂົ້າເຖິງເຄື່ອງຈັກແລະເຄືອຂ່າຍອື່ນໆໃນຂອບເຂດເປົ້າຫມາຍ.

ການປະເມີນຜົນການນໍາໃຊ້ (ໂດຍປົກກະຕິເປັນສີຂາວຫຼື black-box) ສຸມໃສ່ການນໍາໃຊ້ດຽວແລະການນໍາໃຊ້ເຄື່ອງມືພິເສດເຊັ່ນທີ່ພົບເຫັນຢູ່ໃນ. ການວິເຄາະການ ນຳ ໃຊ້ເວັບ, ການປະເມີນຖານຂໍ້ມູນ, ວິສະວະ ກຳ ດ້ານ, ແລະ ເຄື່ອງມືການຂູດຮີດ ປະເພດເມນູ.

ການໂຈມຕີຫຼາຍປະເພດໄດ້ຖືກປຶກສາຫາລືລວມທັງ: ການປະຕິເສດການບໍລິການ, ເຊິ່ງທໍາລາຍພຶດຕິກໍາຂອງແອັບພລິເຄຊັນແລະເຮັດໃຫ້ມັນບໍ່ສາມາດເຂົ້າເຖິງໄດ້; ການສໍ້ລາດບັງຫຼວງຂອງຫນ່ວຍຄວາມຈໍາ, ເຊິ່ງນໍາໄປສູ່ການຫມູນໃຊ້ຂອງຫນ່ວຍຄວາມຈໍາຂະບວນການ, ມັກຈະອະນຸຍາດໃຫ້ປະຕິບັດລະຫັດການໂຈມຕີ; ການໂຈມຕີເວັບໄຊຕ໌, ເຊິ່ງໂຈມຕີການບໍລິການເວັບໂດຍໃຊ້ເຕັກນິກເຊັ່ນ SQL injection ແລະການໂຈມຕີ XSS; ແລະການໂຈມຕີລະຫັດຜ່ານ, ເຊິ່ງມັກຈະໃຊ້ບັນຊີລາຍການລະຫັດຜ່ານເພື່ອໂຈມຕີຂໍ້ມູນປະຈໍາການບໍລິການ.

ຮູບພາບເລັກນ້ອຍ