经过网络渗透测试为何企业仍遭攻击？

ZDNET安全频道 07月19日 综合消息：企业保护网络的方式仍然有一些基础问题，它们源于企业评估安全状态的方式。此外，这也解释了，为什么一些组织能够通过渗透测试，却仍然遭受攻击。

　　造成问题的根源是，构成企业安全性的两个主要基础组件相互之间没有任何直接关系——入侵防御系统(IDS)和渗透测试。事实上，这两种方法都无法真正改进网络安全性。它们的实施周期通常是这样：一个单位花钱请一个安全公司对网络执行一次全面渗透测试。然后，安全顾问会发布一个报告，全面说明漏洞情况，以及不采取必要措施的严重后果。

　　迫于时间压力，这个单位会投入资金解决这个问题，匆匆部署一个基于签名的IDS，用于清除发现的漏洞。然后，再执行一次测试，这时新部署的IDS就会闪亮登场，表示它已经处理了所有安全漏洞。这样对方就说已经把安全工作做完了。但是实际上并不是这回事。一个月之后，有人发现有一个关键服务器在不停地泄露数据。运气好的话，IDS会发现这个问题并发出警报（及许多相关报告）。运气不好的话，信用卡中心报告说，您的网上商店有信用欺诈行为，因此将您踢出局。

自动化网络渗透测试没用

　　真正的攻击行为通常比自动化测试的“自我破坏”高明许多。在大多数时候，攻击者并不会利用2009年前就已经修复的互联网信息服务器漏洞——因为现在的自动化测试工具已经覆盖了这些漏洞。

　　我们处于一种尴尬状态：症状和治疗方法都有，但是病人仍然在生病；Web服务器仍然受到攻击。显然，我们需要一种新方法。企业需要寻找一些防御黑客攻击技术的工具和技术，而不能依赖于自动化渗透测试发现的漏洞或人造环境。

　　有许多供应商推出了防御最复杂多样的攻击（有时候称为高级持久威胁或APT），如Check Point、FireEye和Juniper。这些工具似乎都宣称比传统安全控件更擅长基于智能和声誉判断流量的好坏。然而，除非这些方法带有可靠的意外管理功能，否则它们只会成为下一个最昂贵但无实质作用的网络设备，历史仍在重复。