企業(yè)攻防滲透資質(zhì)

一、企業(yè)攻防滲透資質(zhì)的概念

企業(yè)攻防滲透資質(zhì)是對企業(yè)在網(wǎng)絡(luò)安全領(lǐng)域進行攻防滲透相關(guān)工作能力的一種認可。它表明企業(yè)具備進行網(wǎng)絡(luò)安全滲透測試、發(fā)現(xiàn)安全漏洞、防范網(wǎng)絡(luò)攻擊等相關(guān)技術(shù)能力與專業(yè)水平。在當今數(shù)字化時代，網(wǎng)絡(luò)安全面臨著諸多威脅，企業(yè)攻防滲透資質(zhì)有助于企業(yè)在網(wǎng)絡(luò)安全服務(wù)市場中建立信任、提升競爭力，也是衡量企業(yè)是否具備應(yīng)對復(fù)雜網(wǎng)絡(luò)安全環(huán)境能力的重要標志之一。

（一）滲透測試的定義與重要性

滲透測試是一種通過模擬惡意黑客的攻擊方法，來評估計算機網(wǎng)絡(luò)系統(tǒng)、Web應(yīng)用程序、移動應(yīng)用等安全性的機制。滲透測試員（也被稱為道德黑客或白帽黑客）會利用各種工具和技術(shù)，嘗試突破目標系統(tǒng)的安全防線，從而找出潛在的安全漏洞，如SQL注入漏洞、跨站腳本漏洞等。這些漏洞如果被惡意攻擊者利用，可能會導(dǎo)致企業(yè)數(shù)據(jù)泄露、服務(wù)中斷、聲譽受損等嚴重后果。因此，滲透測試對于企業(yè)提前發(fā)現(xiàn)并修復(fù)安全漏洞至關(guān)重要。例如，一家電商企業(yè)如果存在安全漏洞，可能會導(dǎo)致用戶的支付信息泄露，這將嚴重影響企業(yè)的信譽和用戶的信任，通過滲透測試可以有效避免這種情況的發(fā)生。

（二）企業(yè)攻防滲透資質(zhì)涵蓋的范圍

企業(yè)攻防滲透資質(zhì)涵蓋了多個方面的內(nèi)容。包括對網(wǎng)絡(luò)協(xié)議（如TCP/IP）、操作系統(tǒng)（如Windows和Linux）、網(wǎng)絡(luò)安全工具（如漏洞掃描工具、密碼破解工具等）的熟練掌握，以及具備編寫腳本（如Python、bash腳本）進行自動化安全測試的能力。如如何制定滲透測試計劃、如何進行安全風(fēng)險評估、如何對發(fā)現(xiàn)的漏洞進行跟蹤和修復(fù)等。企業(yè)還需要具備應(yīng)對突發(fā)網(wǎng)絡(luò)安全事件的應(yīng)急響應(yīng)能力，包括在遭受攻擊時能夠快速定位問題、采取措施阻止攻擊進一步擴散，并及時恢復(fù)受影響的服務(wù)等。

二、獲取企業(yè)攻防滲透資質(zhì)的條件

（一）人員技術(shù)能力要求

1. 網(wǎng)絡(luò)知識基礎(chǔ)

   • 企業(yè)相關(guān)人員需要深入了解網(wǎng)絡(luò)協(xié)議，尤其是TCP/IP協(xié)議。這包括對IP地址、子網(wǎng)掩碼、路由等概念的透徹理解，以及對TCP和UDP協(xié)議的工作原理、端口號的用途等方面的熟悉掌握。例如，在進行網(wǎng)絡(luò)滲透測試時，了解TCP的三次握手過程對于發(fā)現(xiàn)和利用某些網(wǎng)絡(luò)層的漏洞非常關(guān)鍵。對OSI模型也應(yīng)有所了解，清楚各層的功能和交互方式，以便準確定位安全問題所在的層次。

     • 具備網(wǎng)絡(luò)架構(gòu)方面的知識，能夠理解企業(yè)內(nèi)部網(wǎng)絡(luò)的拓撲結(jié)構(gòu)，如局域網(wǎng)、廣域網(wǎng)的連接方式，不同子網(wǎng)之間的通信機制等。這有助于在滲透測試中規(guī)劃攻擊路徑，

2. 操作系統(tǒng)知識

   • 熟練掌握Windows和Linux操作系統(tǒng)是必不可少的。對于Windows系統(tǒng)，要了解其用戶管理、權(quán)限設(shè)置、注冊表結(jié)構(gòu)、文件系統(tǒng)（如NTFS）等方面的知識。例如，知道如何利用Windows系統(tǒng)中某些服務(wù)的默認配置漏洞進行權(quán)限提升。對于Linux系統(tǒng)，要熟悉各種命令行操作，如文件和目錄管理（cd、ls、mkdir等命令）、用戶和組管理（useradd、groupadd等命令）、服務(wù)管理（systemctl等命令），以及Linux系統(tǒng)的安全機制，如SELinux的配置和作用等。

   • 能夠在不同的操作系統(tǒng)環(huán)境下進行安全工具的部署和使用，例如在Linux系統(tǒng)下安裝和配置漏洞掃描工具Nessus，或者在Windows系統(tǒng)下使用Metasploit框架進行漏洞利用測試。

3. 腳本編寫能力

   • 掌握至少一種腳本語言，如Python或bash。Python在網(wǎng)絡(luò)安全領(lǐng)域應(yīng)用廣泛，可用于編寫自動化的漏洞掃描腳本、網(wǎng)絡(luò)嗅探工具等。例如，可以編寫Python腳本實現(xiàn)對目標網(wǎng)站的SQL注入漏洞檢測，通過構(gòu)建惡意的SQL語句并發(fā)送請求，分析返回結(jié)果來判斷是否存在漏洞。bash腳本在Linux系統(tǒng)管理和安全測試中也非常有用，可用于自動化一些系統(tǒng)管理任務(wù)和簡單的安全檢測流程，如編寫bash腳本定期檢查系統(tǒng)的安全配置文件是否被修改。

（二）企業(yè)內(nèi)部安全管理要求

1. 安全策略與流程制定

   • 企業(yè)需要建立完善的網(wǎng)絡(luò)安全策略，明確規(guī)定哪些行為是允許的，哪些是禁止的。例如，制定訪問控制策略，限制員工對敏感數(shù)據(jù)的訪問權(quán)限，根據(jù)員工的工作職責(zé)分配不同級別的權(quán)限。安全策略還應(yīng)涵蓋密碼策略，如規(guī)定密碼的長度、復(fù)雜度要求，以及密碼的更新周期等。

   • 建立滲透測試的標準流程，包括測試的周期（如定期進行全面的滲透測試，以及在系統(tǒng)重大更新后進行針對性的測試）、測試的范圍（是針對整個企業(yè)網(wǎng)絡(luò)還是特定的業(yè)務(wù)系統(tǒng)）、測試結(jié)果的評估標準（如何確定漏洞的嚴重程度，如根據(jù)漏洞可能造成的影響范圍、數(shù)據(jù)泄露的風(fēng)險等因素進行評估）等。

2. 漏洞管理機制

   • 企業(yè)要有有效的漏洞管理流程，在滲透測試發(fā)現(xiàn)漏洞后，能夠及時對漏洞進行分類、評估其風(fēng)險等級。對于高風(fēng)險漏洞，要制定緊急的修復(fù)計劃，明確責(zé)任人和修復(fù)時間。同時，還要建立漏洞跟蹤機制，確保漏洞得到徹底修復(fù)，并且在修復(fù)后進行復(fù)查，防止漏洞再次出現(xiàn)。

   • 建立漏洞信息庫，記錄企業(yè)曾經(jīng)發(fā)現(xiàn)的所有漏洞，包括漏洞的名稱、發(fā)現(xiàn)時間、發(fā)現(xiàn)位置、修復(fù)方法等信息。這有助于企業(yè)對自身的安全狀況進行歷史分析，容易出現(xiàn)漏洞的地方，從而有針對性地加強安全防護措施。

（三）相關(guān)工作經(jīng)驗與培訓(xùn)要求

1. 工作經(jīng)驗

   • 部分企業(yè)攻防滲透資質(zhì)要求企業(yè)或其相關(guān)人員具備一定的網(wǎng)絡(luò)安全工作經(jīng)驗。例如，在申請某些高級別的滲透測試資質(zhì)時，要求人員具有至少幾年的網(wǎng)絡(luò)安全攻防經(jīng)驗，參與過實際的滲透測試項目，在項目中負責(zé)過漏洞挖掘、利用和修復(fù)等工作環(huán)節(jié)。這種工作經(jīng)驗?zāi)軌蜃C明企業(yè)或人員在實際操作中具備應(yīng)對各種網(wǎng)絡(luò)安全問題的能力。

   • 對于企業(yè)而言，有在不同行業(yè)（如金融、醫(yī)療、電商等）進行網(wǎng)絡(luò)安全防護的經(jīng)驗也很重要，因為不同行業(yè)的網(wǎng)絡(luò)安全需求和法規(guī)要求有所不同。例如，金融行業(yè)對數(shù)據(jù)的保密性和完整性要求極高，企業(yè)有在金融行業(yè)的網(wǎng)絡(luò)安全工作經(jīng)驗，說明其能夠滿足嚴格的安全標準。

2. 培訓(xùn)要求

   • 參加相關(guān)的網(wǎng)絡(luò)安全培訓(xùn)課程是獲取企業(yè)攻防滲透資質(zhì)的重要途徑之一。例如，由中國信息安全測評中心推出的CISP - PTE/CISP - PTS培訓(xùn)課程，通過參加這些課程，企業(yè)人員可以系統(tǒng)地學(xué)習(xí)滲透測試的理論知識和實際操作技能。這些培訓(xùn)課程涵蓋了滲透測試的各個方面，從基礎(chǔ)知識到高級技術(shù)，如漏洞研究、代碼分析等。

   • 除了國內(nèi)的培訓(xùn)課程，國際上也有一些知名的網(wǎng)絡(luò)安全培訓(xùn)機構(gòu)提供的培訓(xùn)課程也受到認可。如Offensive Security提供的一系列滲透測試培訓(xùn)課程，包括針對進攻性安全認證專家（OSCP）、進攻性安全資深滲透測試員（OSEP）、進攻性安全無線專業(yè)（OSWP）等資質(zhì)的培訓(xùn)課程，這些課程能夠幫助企業(yè)人員提升在特定領(lǐng)域的滲透測試能力。

三、企業(yè)攻防滲透資質(zhì)的認證流程

（一）選擇認證機構(gòu)與認證類型

1. 研究認證機構(gòu)的權(quán)威性

   • 在選擇認證機構(gòu)時，要考慮機構(gòu)的權(quán)威性和認可度。例如，其推出的CISP - PTE/CISP - PTS認證在國內(nèi)具有較高的認可度。國際上，像GIAC（全球信息保障認證）由SANS Institute創(chuàng)建，其提供的GIAC滲透測試員（GPEN）和GIAC漏洞利用研究員和高級滲透測試員（GXPN）認證也被全球許多企業(yè)和網(wǎng)絡(luò)安全專業(yè)人士所認可。

   • 了解認證機構(gòu)的資質(zhì)和背景，查看其是否得到政府部門或行業(yè)協(xié)會的認可。一些認證機構(gòu)可能與特定的行業(yè)有緊密的聯(lián)系，其認證在該行業(yè)內(nèi)更具價值。例如，EC - Council是網(wǎng)絡(luò)安全教育和培訓(xùn)非營利組織，其認證道德黑客（CEH）在全球網(wǎng)絡(luò)安全領(lǐng)域也有較高的知名度，尤其是在一些對網(wǎng)絡(luò)安全人才需求較大的企業(yè)中。

2. 確定適合企業(yè)的認證類型

   • 根據(jù)企業(yè)自身的業(yè)務(wù)需求和發(fā)展方向選擇合適的認證類型。如果企業(yè)主要從事常規(guī)的網(wǎng)絡(luò)安全滲透測試工作，那么CISP - PTE（注冊信息安全專業(yè)人員 - 滲透測試工程師）認證可能比較適合。而如果企業(yè)希望在高級滲透測試領(lǐng)域，如漏洞研究、代碼分析等方面得到認可，則CISP - PTS（注冊信息安全專業(yè)人員 - 滲透測試專家）認證可能更符合要求。

   • 對于一些有國際化業(yè)務(wù)需求的企業(yè)，可能需要考慮國際上廣泛認可的認證，如Offensive Security的OSCP（進攻性安全認證專家）認證。該認證強調(diào)非常規(guī)思維和創(chuàng)造性，對于在國際市場上展示企業(yè)的滲透測試能力有很大幫助。

（二）滿足認證的前提條件

1. 人員資質(zhì)準備

   • 確保企業(yè)參與認證的人員滿足認證機構(gòu)提出的人員資質(zhì)要求。如CISP - PTE/CISP - PTS認證，要求申請成為CISP - PTE的人員具備一定滲透測試能力或有意向從事滲透測試工作（包含信息安全相關(guān)專業(yè)高校生）；申請成為CISP - PTS的人員則要求具備熟練的滲透測試能力，且無學(xué)歷與工作經(jīng)驗的報考要求，但需要參加CISP攻防領(lǐng)域授權(quán)培訓(xùn)機構(gòu)的培訓(xùn)，完成相關(guān)學(xué)習(xí)，掌握考試大綱中要求的滲透測試相關(guān)知識與實際操作能力。

   • 對于其他國際認證，如GIAC的GPEN和GXPN認證，考生應(yīng)該對Windows和Linux操作系統(tǒng)和命令行工具、計算機網(wǎng)絡(luò)和TCP/IP協(xié)議有深入的了解，并對密碼學(xué)有基本的了解等要求。對于GXPN認證，在開始準備此認證之前，考生應(yīng)該已經(jīng)熟悉滲透測試經(jīng)驗、編程（最好使用Python和C/C++）和網(wǎng)絡(luò)的基礎(chǔ)知識。

2. 企業(yè)內(nèi)部準備工作

   • 企業(yè)要建立健全的網(wǎng)絡(luò)安全管理體系，包括前面提到的安全策略、漏洞管理機制等。例如，企業(yè)應(yīng)具備完善的訪問控制策略、密碼策略，以及有效的漏洞跟蹤和修復(fù)流程。這是因為認證機構(gòu)在審核過程中，不僅會考察企業(yè)人員的技術(shù)能力，還會關(guān)注企業(yè)整體的網(wǎng)絡(luò)安全管理水平。

   • 準備相關(guān)的文檔資料，如企業(yè)的網(wǎng)絡(luò)拓撲圖、安全策略文檔、以往的滲透測試報告等。這些資料可以作為企業(yè)網(wǎng)絡(luò)安全工作的證明，有助于認證機構(gòu)全面了解企業(yè)的網(wǎng)絡(luò)安全狀況。

（三）提交申請與審核過程

1. 提交申請材料

   • 按照認證機構(gòu)的要求，準備并提交申請材料。一般來說，申請材料可能包括企業(yè)的基本信息（如企業(yè)名稱、營業(yè)執(zhí)照副本等）、參與認證人員的個人信息（如姓名、學(xué)歷、工作經(jīng)歷等）、企業(yè)的網(wǎng)絡(luò)安全管理體系文檔、以往的網(wǎng)絡(luò)安全項目經(jīng)驗介紹等。例如，在申請CISP - PTE/CISP - PTS認證時，需要提交符合要求的人員信息和相關(guān)的培訓(xùn)證明等材料。

   • 確保申請材料的真實性和完整性，任何虛假信息都可能導(dǎo)致認證申請失敗，并可能對企業(yè)的聲譽造成損害。

2. 審核過程

   • 認證機構(gòu)會對企業(yè)提交的申請材料進行審核。審核內(nèi)容包括對企業(yè)人員資質(zhì)的核實，例如通過查詢學(xué)歷證書、工作經(jīng)驗證明等方式來驗證人員信息的真實性。同時，對企業(yè)的網(wǎng)絡(luò)安全管理體系進行評估，查看是否符合認證要求的標準。

   • 如果審核過程中發(fā)現(xiàn)問題，認證機構(gòu)可能會要求企業(yè)補充材料或進行整改。例如，如果發(fā)現(xiàn)企業(yè)的安全策略文檔存在漏洞或不完整，可能會要求企業(yè)進行修改完善，并重新提交審核。審核的周期可能因認證機構(gòu)和認證類型的不同而有所差異，一般可能需要數(shù)周甚至數(shù)月的時間。

（四）參加考試或評估

1. 理論考試

   • 對于一些認證，會包含理論考試環(huán)節(jié)。理論考試主要測試企業(yè)相關(guān)人員對網(wǎng)絡(luò)安全知識、滲透測試原理、安全法規(guī)等方面的掌握程度。例如，GIAC的GPEN認證的考試形式為3小時網(wǎng)絡(luò)監(jiān)考，82題，75%才能通過?？荚噧?nèi)容涵蓋對Windows和Linux操作系統(tǒng)、計算機網(wǎng)絡(luò)和TCP/IP協(xié)議、密碼學(xué)等方面的知識考查。

   • 在準備理論考試時，企業(yè)人員需要系統(tǒng)地學(xué)習(xí)相關(guān)的知識體系，可以參考認證機構(gòu)提供的教材、培訓(xùn)資料，以及網(wǎng)絡(luò)安全領(lǐng)域的經(jīng)典書籍和研究論文等。

2. 實踐操作評估

   • 很多企業(yè)攻防滲透資質(zhì)認證都非常注重實踐操作能力的評估。例如，CISP - PTE/CISP - PTS認證要求考生通過培訓(xùn)學(xué)習(xí)和檢驗考試，最終持證者應(yīng)具有漏洞驗證、制定滲透測試方案與測試計劃、編寫測試用例、實施測試、輸出測試報告等方面的能力。在實踐操作評估中，可能會要求考生在模擬的網(wǎng)絡(luò)環(huán)境下進行滲透測試操作，展示其發(fā)現(xiàn)漏洞、利用漏洞并提出解決方案的能力。

   • 企業(yè)人員在準備實踐操作評估時，需要通過大量的實際操作練習(xí)來提升自己的技能?？梢岳靡恍╅_源的網(wǎng)絡(luò)安全測試平臺，如Metasploit的在線練習(xí)平臺等，進行模擬實戰(zhàn)演練。

（五）獲取認證結(jié)果與證書

1. 認證結(jié)果通知

   • 認證機構(gòu)在完成考試或評估后，會將認證結(jié)果通知企業(yè)。如果企業(yè)通過認證，會告知企業(yè)通過的具體情況，如人員的成績情況、企業(yè)整體的評價等。如果企業(yè)未通過認證，會指出存在的問題和不足之處，以便企業(yè)進行改進。

   • 通知的方式可能包括電子郵件、企業(yè)應(yīng)密切關(guān)注認證機構(gòu)的通知渠道，及時獲取認證結(jié)果。

2. 頒發(fā)證書

   • 如果企業(yè)通過認證，認證機構(gòu)會頒發(fā)相應(yīng)的企業(yè)攻防滲透資質(zhì)證書。例如，CISP - PTE/CISP - PTS認證通過后，企業(yè)相關(guān)人員會獲得由中國信息安全測評中心頒發(fā)的證書。

   • 企業(yè)應(yīng)妥善保管證書，證書可能在企業(yè)參與網(wǎng)絡(luò)安全項目招投標、客戶合作等方面發(fā)揮重要作用。同時，、宣傳資料等地方展示證書，以提升企業(yè)的信譽和競爭力。

四、企業(yè)攻防滲透資質(zhì)的權(quán)威機構(gòu)

（一）中國信息安全測評中心

1. 機構(gòu)概述

   • 它在信息技術(shù)安全領(lǐng)域承擔著多項重要職能，包括對信息安全產(chǎn)品和系統(tǒng)進行測試評估、對信息安全專業(yè)人員的資質(zhì)能力進行考核、評估和認定等。

     • 該中心具有較高的權(quán)威性和專業(yè)性，其制定的標準和認證流程在國內(nèi)網(wǎng)絡(luò)安全行業(yè)具有廣泛的影響力。它擁有一支專業(yè)的技術(shù)團隊，具備先進的測試設(shè)備和技術(shù)手段，能夠?qū)ζ髽I(yè)的網(wǎng)絡(luò)安全攻防滲透能力進行全面、科學(xué)的評估。

2. 相關(guān)認證

   • 中國信息安全測評中心推出了CISP - PTE（注冊信息安全專業(yè)人員 - 滲透測試工程師）和CISP - PTS（注冊信息安全專業(yè)人員 - 滲透測試專家）等認證。CISP - PTE主要面向從事常規(guī)網(wǎng)絡(luò)安全滲透測試工作的人員，通過培訓(xùn)學(xué)習(xí)和檢驗考試，最終持證者應(yīng)具有漏洞驗證、制定滲透測試方案與測試計劃、編寫測試用例、實施測試、輸出測試報告的基本知識和能力。CISP - PTS則主要面向從事網(wǎng)絡(luò)安全高級滲透測試工作的人員，通過培訓(xùn)學(xué)習(xí)和檢驗考試，最終持證者應(yīng)具有較強的漏洞研究、代碼分析、進行最新網(wǎng)絡(luò)安全動態(tài)跟蹤研究以及策劃解決方案等方面的知識和能力。

（二）GIAC（全球信息保障認證）

1. 機構(gòu)簡介

   • GIAC是由SANS Institute創(chuàng)建的一個組織，專門用于管理與SANS課程相關(guān)的認證。SANS Institute在網(wǎng)絡(luò)安全培訓(xùn)領(lǐng)域具有很高的聲譽，其提供的課程涵蓋了網(wǎng)絡(luò)安全的各個方面，從基礎(chǔ)的網(wǎng)絡(luò)安全知識到高級的滲透測試技術(shù)等。GIAC依托SANS Institute的資源優(yōu)勢，其認證在全球網(wǎng)絡(luò)安全領(lǐng)域得到了廣泛的認可。

   • GIAC的認證強調(diào)對實際操作能力和專業(yè)知識的考核，其認證考試的難度較高，對考生的綜合素質(zhì)要求也比較嚴格。

2. 認證項目

   • GIAC提供了GIAC滲透測試員（GPEN）和GIAC漏洞利用研究員和高級滲透測試員（GXPN）等滲透測試相關(guān)的認證。GIAC滲透測試員（GPEN）認證要求考生應(yīng)該對Windows和Linux操作系統(tǒng)和命令行工具、計算機網(wǎng)絡(luò)和TCP/IP協(xié)議有深入的了解，并對密碼學(xué)有基本的了解。GIAC漏洞利用研究員和高級滲透測試員（GXPN）認證要求在開始準備此認證之前，考生應(yīng)該已經(jīng)熟悉滲透測試經(jīng)驗、編程（最好使用Python和C/C++）和網(wǎng)絡(luò)的基礎(chǔ)知識。

（三）EC - Council

1. 機構(gòu)背景

   • EC - Council是在9/11襲擊之后成立的網(wǎng)絡(luò)安全教育和培訓(xùn)非營利組織。該組織致力于推動網(wǎng)絡(luò)安全教育的發(fā)展，在全球范圍內(nèi)提供網(wǎng)絡(luò)安全相關(guān)的培訓(xùn)課程和認證項目。EC - Council的認證在全球網(wǎng)絡(luò)安全人才培養(yǎng)方面發(fā)揮著重要的作用，其課程和認證涵蓋了從入門級到高級的網(wǎng)絡(luò)安全知識和技能。

   • 它與全球眾多的企業(yè)、教育機構(gòu)和政府部門有合作關(guān)系，其認證得到了廣泛的認可，尤其是在網(wǎng)絡(luò)安全人才招聘和職業(yè)發(fā)展方面具有重要的影響力。

2. 認證類型

   • EC - Council最著名的認證是認證道德黑客（CEH），這可能是他們最受矚目的證書，事實上，它是世界上最著名的認證之一，往往被看作是滲透測試的“