Penetration Testing - Testers

存在保护本组织最关键数据的问题;因此,渗透检测器的作用非常重要,小差错可能使双方(实验室及其客户)面临风险。

因此,本章讨论渗透检测器的各个方面,包括其资格、经验和责任。

Quapfication of Penetration Testers

这一检验只能由合格的渗透检测器进行;因此,对渗透检测器的认证非常重要。

合格的内部专家或合格的外部专家可在组织上独立之前进行渗透测试。 这意味着渗透检测器必须在组织上独立于目标系统的管理。 例如,如果第三方公司参与安装、维护或支持目标系统,那么该方就无法进行渗透测试。

这里有一些准则将帮助你打上渗透检测器。

Certification

经认证的人可以进行渗透测试。 检测员的认证表明他的技能水平和有能力的渗透检测员的能力。

以下是渗透测试认证的重要实例:

注册伦理博士(CEH)。

5. 离职人员安全证书。

CREST Penetration Test accreditations.

通信电子安全小组(CESG)信息技术健康检查服务认证。

全球信息保证认证(GIAC)认证,例如,GIACed Penetration Tester(GPEN)、GIAC网络应用资格测试员(GWAPT)、预付资格测试员(GXPN)和GIAC Exploit Researcher。

Past Experience

下面的问题将有助于你雇用有效的渗透检测器——

渗透检测器有多年的经验?

他是一个独立的渗透检测器还是为一个组织工作吗?

有多少公司是渗透检测器?

他是否为任何组织进行了渗透测试,该组织的规模和范围与贵组织相似?

渗透检测器有何种经验? 例如,进行网络-继器渗透测试等

您还可以要求他工作的其他客户参考。

在雇用渗透检测器时,必须评估他(tester)所为组织的过去一年测试经验,因为它与他在目标环境中专门部署的技术有关。

除以上所述外,对于复杂情况和典型的客户要求,建议测试者在其先前的项目中评估其处理类似环境的能力。

Role of a Penetration Tester

渗透检测器具有以下作用:

查明工具和技术分配效率低下。

内部安全系统的测试。

接触到保护最关键数据。

在整个基础设施中发现关于脆弱性和风险的宝贵知识。

报告并提出补救建议的优先次序,以确保安保小组以最有效的方式利用时间,同时保护最大的安全漏洞。