建站
咨詢
售后
建站咨詢
新聞中心
網(wǎng)絡(luò)安全至關(guān)重要，組織致力于對(duì)敏感的信息資產(chǎn)建立有效的控制及保護(hù)，關(guān)注的重點(diǎn)在核心的業(yè)務(wù)系統(tǒng)、內(nèi)部辦公系統(tǒng)、財(cái)務(wù)系統(tǒng)、人事系統(tǒng)…這一切可歸為組織的生產(chǎn)環(huán)境。與之不同，測(cè)試環(huán)境更像一個(gè)過(guò)客，會(huì)階段性的出現(xiàn)在組織內(nèi)部，而人們往往對(duì)其不會(huì)有足夠的關(guān)注。
創(chuàng)新互聯(lián)專注于武威網(wǎng)站建設(shè)服務(wù)及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗(yàn)。 熱誠(chéng)為您提供武威營(yíng)銷型網(wǎng)站建設(shè)，武威網(wǎng)站制作、武威網(wǎng)頁(yè)設(shè)計(jì)、武威網(wǎng)站官網(wǎng)定制、小程序制作服務(wù)，打造武威網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供武威網(wǎng)站排名全網(wǎng)營(yíng)銷落地服務(wù)。
在交付技術(shù)產(chǎn)品或服務(wù)之前，組織通常會(huì)搭建測(cè)試環(huán)境，以確保在不影響正常業(yè)務(wù)的情況下，可控、高效、安全的完成測(cè)試或開(kāi)發(fā)，這是當(dāng)前公認(rèn)的最佳實(shí)踐。在理想狀態(tài)下，這些“非生產(chǎn)”或測(cè)試環(huán)境應(yīng)該與生產(chǎn)環(huán)境完全隔離，以防出現(xiàn)安全事故。在現(xiàn)實(shí)中，應(yīng)只有公司內(nèi)部人員了解測(cè)試環(huán)境的情況，對(duì)公眾來(lái)說(shuō)，完全沒(méi)有必要公開(kāi)。然而，在安全研究中，經(jīng)?？梢园l(fā)現(xiàn)暴露的測(cè)試環(huán)境憑證，這可能會(huì)導(dǎo)致嚴(yán)重的后果。
測(cè)試環(huán)境帶來(lái)的風(fēng)險(xiǎn)
測(cè)試環(huán)境自身對(duì)于攻擊者的價(jià)值，遠(yuǎn)大于我們的認(rèn)識(shí)，測(cè)試環(huán)境可以反應(yīng)出組織當(dāng)前數(shù)字業(yè)務(wù)的部分情況，會(huì)存在比生產(chǎn)環(huán)境更多的漏洞，承載的信息還可幫助攻擊者更好的利用社會(huì)工程學(xué)攻擊。
相比生產(chǎn)環(huán)境來(lái)說(shuō)，測(cè)試環(huán)境憑證更好獲得，對(duì)漏洞的管理也更加松懈，給攻擊者留下了更多的機(jī)會(huì)，盜竊測(cè)試環(huán)境中的數(shù)據(jù)對(duì)攻擊者來(lái)說(shuō)也更加容易。在某些場(chǎng)景下，例如因?yàn)閭卧斓臄?shù)據(jù)無(wú)法達(dá)到測(cè)試效果，測(cè)試者會(huì)在測(cè)試環(huán)境中使用生產(chǎn)數(shù)據(jù)，這些數(shù)據(jù)可能是客戶信息、公司的機(jī)密數(shù)據(jù)、一旦暴露，不僅會(huì)面臨監(jiān)管機(jī)構(gòu)的罰款，對(duì)公司聲譽(yù)帶來(lái)的影響，更是無(wú)法估量的損失。
此外，盡管測(cè)試環(huán)境不應(yīng)與生產(chǎn)環(huán)境關(guān)聯(lián)，我們也應(yīng)重視對(duì)其的保護(hù)。一旦測(cè)試環(huán)境同生產(chǎn)環(huán)境“重疊”，那么測(cè)試環(huán)境則成為了進(jìn)入生產(chǎn)環(huán)境的通道，測(cè)試環(huán)境存在的漏洞也即成為了生產(chǎn)環(huán)境的漏洞。攻擊者可以此為跳板，利用社會(huì)工程獲得對(duì)組織內(nèi)部系統(tǒng)的更大訪問(wèn)權(quán)限。
如何降低測(cè)試環(huán)境帶來(lái)的風(fēng)險(xiǎn)
- 測(cè)試環(huán)境應(yīng)該始終使用與生產(chǎn)環(huán)境不同的憑證，這樣即使泄漏，測(cè)試憑證也不能用于訪問(wèn)生產(chǎn)環(huán)境。
- 測(cè)試憑證應(yīng)該遵循權(quán)限最少的原則，只能使用測(cè)試憑證進(jìn)入測(cè)試環(huán)境而不能進(jìn)入其他系統(tǒng)。
- 在測(cè)試環(huán)境中啟用多因素身份驗(yàn)證(MFA)，以創(chuàng)建另一道防線以阻止攻擊者訪問(wèn)公司的系統(tǒng)。
- 避免在測(cè)試環(huán)境中使用真實(shí)(生產(chǎn))數(shù)據(jù)，盡可能使用或開(kāi)發(fā)工具為測(cè)試環(huán)境生成虛假數(shù)據(jù)。如果必須使用生產(chǎn)數(shù)據(jù)，在使用前盡可能的脫敏。
- 實(shí)現(xiàn)技術(shù)控制，如網(wǎng)絡(luò)分割：健壯的網(wǎng)絡(luò)安全更利于保護(hù)系統(tǒng)，無(wú)論是生產(chǎn)環(huán)境還是測(cè)試環(huán)境。
- 關(guān)注供應(yīng)商風(fēng)險(xiǎn)：以上幾條均是通過(guò)組織內(nèi)部的調(diào)整以達(dá)到降低使用測(cè)試環(huán)境風(fēng)險(xiǎn)的目的，但我們也不能忽略一個(gè)關(guān)鍵的角色，提供服務(wù)or技術(shù)的供應(yīng)商。即使內(nèi)部的防范再到位，若憑證從供應(yīng)商、甚至供應(yīng)商的合作伙伴手中流失，給組織帶來(lái)的傷害是一樣的。
網(wǎng)站題目：測(cè)試環(huán)境中的隱藏的網(wǎng)絡(luò)風(fēng)險(xiǎn)及應(yīng)對(duì)
網(wǎng)頁(yè)鏈接：http://fisionsoft.com.cn/article/coecssj.html
