渗透测试对于公司的安全是必要的。 这些是受控的模拟网络攻击，旨在识别系统或网络安全防御中的弱点和弱点。 渗透测试分为三种类型：黑盒渗透测试、灰盒渗透测试和白盒渗透测试。
许多人更喜欢黑盒渗透测试，因为他们相信它提供了真实网络威胁的最真实的表现。 然而，现实主义的吸引力有时会掩盖潜在的缺点。 因此，您应该重新考虑为下一次安全评估选择黑盒渗透测试。
什么是黑盒渗透测试？
黑盒渗透测试是一种网络安全分析，测试人员模拟对系统的攻击，模仿外部攻击者的视角，从外部攻击者的角度识别漏洞。
就像真正的攻击者一样，黑盒渗透测试仪可能对您的系统资产和基础设施没有任何内部洞察，这使其成为对您的防御的真正测试。 此方法基于复制外部威胁寻找漏洞的场景。
测试人员遵循他们的直觉和对攻击向量的了解，试图渗透组织的资产并发现漏洞。 虽然其目的是反映现实世界的风险，但必须意识到这样做会忽视只有内部熟悉才能发现的潜在差距。
为什么黑盒渗透测试可能会失败
根据 OWASP 应用程序安全验证标准 4.0在过去的 30 年里，黑盒渗透测试已被证明是一个关键的安全问题，导致了大规模的漏洞。 然而，黑盒笔测试，尤其是在开发结束时进行的测试，并不能有效保证安全性。
时间限制
黑盒渗透测试与真正的网络攻击的明显区别在于完成这两个过程所需的时间。 恶意行为者有充足的时间发起长达数月甚至数年的攻击； 大多数渗透测试现在在几周内完成。
攻击者只需要一个入口点或漏洞即可访问系统，并且他们可以在那里停留数月。 由于渗透测试的时间范围有限，这通常会限制调查的深度，从而阻止渗透测试人员彻底模拟网络攻击。
知识有限
尽管黑盒测试旨在模拟外部威胁，但它缺乏内部团队所拥有的背景。 如果不了解系统架构和防御的具体情况，渗透测试人员可能会错过关键漏洞，而只有了解资产及其演变方式，他们才会发现这些漏洞。
这有时会导致评估失真。 测试人员可能只针对一般入口点，忽略某些区域，假设攻击者不会利用它们，并错过更全面的评估将发现的潜在盲点。 因此，一些渗透测试人员会收集信息然后进行攻击，以便更准确地评估您的安全性。
低估内部威胁
仅仅关注外部威胁而忽视了内部人员带来的风险。 黑盒测试可能无法充分评估具有访问权限的员工或承包商可以利用的漏洞。
考虑平衡的方法
灰盒和白盒渗透测试提供了与黑盒方法互补的独特优势。
灰盒测试通过提供有限的内部信息并模拟知识渊博的攻击者来平衡这一点。 同时，白盒测试可以透明地检查系统的内部运作，从而可以仔细识别漏洞。 选择这些方法的组合将使您更好地了解组织的漏洞。 平衡的方法可以增强您的防御能力，并增强对已知和意外威胁的主动适应能力。
