物聯網滲透測試威脅建模，捕捉應用相關安全風險

如今，資訊科技突飛猛進，對政治、經濟、社會、文化、軍事等很多領域都產生了深刻影響。網際網路技術更是融入到生活的各方各面，早已改變人們生活方式。同時，網路攻擊也在日益增加，安全防護始終是網路安全防護的一個痛點。近年來，網路攻擊亦成為最火爆的網路安全話題之一。

那WEB滲透與IOT滲透的區別又有那些呢？

常規WEB滲透測試主要分為四個階段， 即資訊收集、漏洞分析、 漏洞挖掘和報告形成。 

1、  資訊收集 

資訊收集是初始階段但尤為關鍵的環節，滲透測試是否能夠成功執行，很大程度上取決於從其所依賴三層結構中探測到的可用資訊。 

2、  漏洞分析 

基於已獲知的資訊，確定測試執行目標及計劃，分析並 識別出可行的攻擊途徑，考慮如何取得目標系統的訪問權。 

3、  漏洞挖掘 

根據之前已識別出的攻擊路徑和目標，實施對漏洞的挖 掘與驗證。 

4、  報告形成 

報告是滲透測試過程中最為重要的因素，以報告文件展 現滲透測試過程所發現的安全漏洞和弱點，為漏洞修復提供 依據指引，是滲透測試工作真正價值的體現。

物聯網滲透測試威脅攻擊研究

威脅建模是一種深入分析應用程式安全性的有效方法， 它透過提供上下文和風險分析來識別、量化、定位和捕捉應用相關安全風險。幾維安全小編告知，當評估物聯網安全性問題時，往往建立威脅模型是極有必要的，它還能夠幫助指引滲透測試的執行過程，有助於消除物聯網中存在的安全隱患。威脅建模通常分為 3個步驟，即應用分解、威脅確定和對策解讀。從攻擊面角度分解物聯網系統，從而提供可被識別的潛在安全威脅攻擊面，旨在為後續確定對策和緩解措施提供參考依據。

以攻擊者視角將物聯網，按照攻擊面分解各應用元件，可分為生態系統、裝置記憶體、裝置物理介面、裝置Web 介面、 裝置韌體、網路服務、管理介面、本地資料儲存、雲Web 介面、第三方後端APIs、更新機制、移動應用程式、供應商後端 APD、生態系統通訊、網路流量、認證與授權、隱私和硬體。

幾維安全IOT滲透測試是一項基於STRIDE模型對功能業務進行威脅發現的安全檢測服務。透過對智慧終端應用系統的架構設計分析著手，然後對其架構設計中的業務功能實現進行威脅分析，得到業務可能面臨的威脅點，最後再以此為基礎進行全面的滲透測試，檢測智慧終端裝置以及其整個生態系統中存在的漏洞問題，並制定整改措施。目前滲透業務和虛擬機器加密產品，都已經在航空航天等國防領域實現突破和型號應用。

幾維安全IOT滲透測試功能特點

1、業務風險梳理

根據應用系統架構，對業務進行拆分，並針對每個業務進行威脅建模，梳理所有可能遇到的潛在安全風險。

2、漏洞校驗與複檢

對梳理的潛在安全風險進行一一驗證，並提供詳細的漏洞驗證方法，以便確認風險，提供複檢服務，確保漏洞完全修復。

3、支援漏洞修復

根據不同的業務漏洞場景，提供針對性的修復建議，幫助研發人員快速及時修復漏洞。

4、專業安全報告

從多個維度和層次關係，詳細闡述漏洞影響，風險級別，漏洞位置，風險詳情，以及修復建議。

相關閱讀： IOT安全滲透測試 服務：

       APP滲透測試：