滲透測試之全民公測 (Open Penetration Test)

滲透測試 (Penetration Test)，直到目前為止仍沒有一個標準的定義。比較大的共識應該是：以駭客的角度，由外部對目標網路環境進行滲透，找出任何可進行利用之弱點、漏洞或錯誤...等，並將結果回報。

隨著地下經濟的發展與資安觀念的不斷演變，滲透測試也面臨一些角色的轉變。早期滲透測試主要找系統面的漏洞居多，一方面是當時網站還屬靜態居多，且防火牆觀念並不發達，所以主要都是蠕蟲氾濫的系統漏洞問題，滲透測試的攻擊目標往往也都在這方面。現今，網站變動態網頁居多了，IPS&FW也建置部署了，系統自動更新機制也頗完善，系統漏洞已經不易直接攻擊，面臨的幾乎都是網站的威脅，加上 Web2.0&3.0...，攻擊方式更複雜，所以滲透測試的目標也漸漸轉移到網站上。未來呢？系統應用程式的挑戰？雲端的挑戰？滲透測試也會有新的面貌出現的。

滲透測試 vs 真實入侵
最大的差別，之前有提到，就是「時間」的差異，因為真實入侵並沒有時間壓力，很多時候都是等待一個契機，一個契機就可以拿下主機或甚至是一整個 Site；另外一個就是網站被盯上後，盯上的人技術層面雖然有高有低，但，每個都是用自己最厲害的拿手絕技來檢視你的系統、網路架構，你的網站夠大、夠吸引人，哪來者千奇百怪，你如何有效應付呢？有時最簡單也是最有效的攻擊方式，有時只是一個意念與技術無關的攻擊巧門，可能就瓦解你的整個防線了。

滲透測試 vs 弱點掃描
弱點刺探、掃描的步驟，只是滲透測試過程中的一個環節，滲透測試最重要的也就是要有能力檢測漏洞是否真正存在，可以如何被利用，能利用到哪個層級。甚至，更好的滲透測試應該要能找到弱點掃描無法發現的問題。所以滲透測試絕不等於弱點掃描加漏洞驗證而已，它可是需要絕佳的創意與發想的，換句話說，得有些邪惡的意念...XD。

個資法的不確定因素
把滲透測試開放全民公測吧！主要會有這想法也是因為個資法的「即將」通過。對於個資法的通過，需多人看到巨大的資安商機，但...我不認為有資安商機會有多大，天底下沒有一個產品或技術可以一夕之間解決所有問題，我反而看到了巨大地下經濟，有些事不宜說太明。如果要一夕之間把資安做好，還是要一夕之間發現主要問題，來針對問題解決呢？你得評估哪個比較容易。

前面已經提到，滲透測試再怎麼模擬，也無法等同真實入侵，所以提出「滲透測試之全民公測」觀念，開放網站、系統給國內白帽駭客公測吧！只要訂定一套規則說明，依循此規則進行即可，只是目前沒有相關遊戲規則可以參考，要當前瞻者本來就不容易的；依據發現問題層級達，若達特定規模或層級，可提供檢舉獎金或通報獎金吧。另外一個層面的意義也是「買回你不知道的漏洞或問題吧！」，否則，衍生所導致的問題可能讓你付出更多，多到可能稱之為巨額。

滲透測試之全民公測
1.風險高嗎？
也許你會覺得這樣風險很高，可能不小心網站、系統被玩掛了，但從另外一個角度想，網站、系統如此脆弱，是否也該思考予以補強呢？「全民公測」只是把之前檯面下的風險搬到檯面上的。
2.攻防技術的對等
要思考內部人員是否能有資安技術的提升，如果攻防差距過大，「全民公測」相信絕對無法解決你的問題。因為，即使知道問題，但可能也不了解問題本身，當然更無解決能力。
3.自信心
這是對自我系統、網路、基礎架構、資安防禦工事的掌控程度的自信心呈現，如果掌控度高、調派力夠、反應力快，你也知道這樣的資安團隊只要有技術能力，往往能「主動」發現問題，也能接受各種資安威脅的新挑戰，「全民公測」反而是助力，可以參考這篇文章。這會是你的目標嗎？
4.前瞻性
有個觀念還是要提一下，「資安不是流行產業」，做資安千萬不能一窩蜂，舉個簡單的例子，當每個人都在蓋鐵路時，要嘛，就是你已經蓋了，不然就忍一下，做前瞻規劃然後直接蓋磁浮列車或高速鐵路或捷運，這時你的選擇是很多的，評估手上資源妥善運用新的技術，如果老是用舊觀念舊思維做資安，包袱會是很重的。「前瞻者」是會比較辛苦的，畢竟前方篳路藍縷，要當第一個走過的人，有很多事得思考與執行才能成功。
5.個資法與地下經濟的變數
你思考過個資法會對地下經濟產生哪些變化呢？地下經濟鏈會有何改變呢？現階段以靜制動可不是上策的，尤其是大目標的話。