物聯網滲透測試威脅建模，捕捉應用相關安全風險

如今，信息技術突飛猛進，對政治、經濟、社會、文化、軍事等很多領域都產生了深刻影響。互聯網技術更是融入到生活的各方各面，早已改變人們生活方式。同時，網絡攻擊也在日益增加，安全防護始終是網絡安全防護的一個痛點。近年來，網絡攻擊亦成為最火爆的網絡安全話題之一。

那WEB滲透與IOT滲透的區別又有那些呢？

常規WEB滲透測試主要分為四個階段， 即信息收集、漏洞分析、 漏洞挖掘和報告形成。 

1、  信息收集 

信息收集是初始階段但尤為關鍵的環節，滲透測試是否能夠成功執行，很大程度上取決于從其所依賴三層結構中探測到的可用信息。 

2、  漏洞分析 

基于已獲知的信息，確定測試執行目標及計劃，分析并 識別出可行的攻擊途徑，考慮如何取得目標系統的訪問權。 

3、  漏洞挖掘 

根據之前已識別出的攻擊路徑和目標，實施對漏洞的挖 掘與驗證。 

4、  報告形成 

報告是滲透測試過程中最為重要的因素，以報告文檔展 現滲透測試過程所發現的安全漏洞和弱點，為漏洞修復提供 依據指引，是滲透測試工作真正價值的體現。

物聯網滲透測試威脅攻擊研究

威脅建模是一種深入分析應用程序安全性的有效方法， 它通過提供上下文和風險分析來識別、量化、定位和捕捉應用相關安全風險。幾維安全小編告知，當評估物聯網安全性問題時，往往建立威脅模型是極有必要的，它還能夠幫助指引滲透測試的執行過程，有助于消除物聯網中存在的安全隱患。威脅建模通常分為 3個步驟，即應用分解、威脅確定和對策解讀。從攻擊面角度分解物聯網系統，從而提供可被識別的潛在安全威脅攻擊面，旨在為后續確定對策和緩解措施提供參考依據。

以攻擊者視角將物聯網，按照攻擊面分解各應用組件，可分為生態系統、設備內存、設備物理接口、設備Web 界面、 設備固件、網絡服務、管理界面、本地數據存儲、云Web 界面、第三方后端APIs、更新機制、移動應用程序、供應商后端 APD、生態系統通信、網絡流量、認證與授權、隱私和硬件。

幾維安全IOT滲透測試是一項基于STRIDE模型對功能業務進行威脅發現的安全檢測服務。通過對智能終端應用系統的架構設計分析著手，然后對其架構設計中的業務功能實現進行威脅分析，得到業務可能面臨的威脅點，最后再以此為基礎進行全面的滲透測試，檢測智能終端設備以及其整個生態系統中存在的漏洞問題，并制定整改措施。目前滲透業務和虛擬機加密產品，都已經在航空航天等國防領域實現突破和型號應用。

幾維安全IOT滲透測試功能特點

1、業務風險梳理

根據應用系統架構，對業務進行拆分，并針對每個業務進行威脅建模，梳理所有可能遇到的潛在安全風險。

2、漏洞校驗與復檢

對梳理的潛在安全風險進行一一驗證，并提供詳細的漏洞驗證方法，以便確認風險，提供復檢服務，確保漏洞完全修復。

3、支持漏洞修復

根據不同的業務漏洞場景，提供針對性的修復建議，幫助研發人員快速及時修復漏洞。

4、專業安全報告

從多個維度和層次關系，詳細闡述漏洞影響，風險級別，漏洞位置，風險詳情，以及修復建議。

相關閱讀： IOT安全滲透測試 服務： https://www.kiwisec.com/product/iot-test.html

       APP滲透測試： https://www.kiwisec.com/product/app-penetration.html