在前文中，我们介绍了分歧类型的威胁模型以及当前可用于威胁建模的工具，本节将会持续介绍安全测试中涉及的有关内容，并将沉点介绍选择组织能够使用的安全测试主题和工具。

起源于暗斗、军方中的“红队”一词时时被用来描述一种跳出框线思虑并可能预测和仿照匹敌行为的方式。尺度渗入测试旨在发现和利用领域内指标的缝隙，并遵循PTES等步骤，而“红队”则更注沉指标，将组织作为一个整体。北约合作网络防御卓越中心的一份汇报将网络红队界说为四个重要阶段（图9）。

图 9: 北约红队的四个重要阶段

要进行红队测试，测试人员必要签署一份参加规定合同，以在出现问题时；に。作为这项测试的一部门，内部安全运营团队（也称为“蓝队”）即一个组织的保卫者，将事先不知路红队的测试。指标是观察蓝队对红队攻击的反映，这对组织是有益的，由于它既测试了组织防守方的反映，也确定了他们必要改进的领域。

红队将会使用全面的攻击步骤，由于红队成员能够使用任何必要的伎俩，如利用流程、人员或系统来获得接见权限。例如，红队测试人员能够使用社会工程学让员工点击链接，以便测试人员在组织网络上拥有安身点。在正常的渗入测试中不允许进行此类活动，由于领域会更为严格，并会限度这些活动。红队测试可能必要很长功夫来进行，并且成本高昂，由于一个组织很可能必要雇佣拥有有关经验的第三方来确保红队测试成功。

紫队通过让红队和蓝队在测试中缜密合作，别离攻击和防守特定指标，从而提高了红队和蓝队的技术和流程。红队像平凡一样进行测试，而蓝队将和红队共同致力提高测试了局。紫队能够被视为更具成本效益，由于它能够鉴别进入组织的很多蹊径，并允许蓝队凭据红队仿照的攻击创建防御。这也有助于成立两个团队之间的合作关系，以便他们相互推动，为组织的利益发展自己的能力。

为了使紫队测试得到成功，组织必要相识他们想要从测试中得到什么，并充分相识组织的安全态势。他们还必要拥有有关红蓝团队经验的员工，以便可能仿照和检测攻击。

在渗入测试的威胁建模阶段，测试人员必要相识什么类型的攻击者可能针对某个组织，以及他们的能力是什么。分歧攻击者有兴致攻击某个组织的动机遇有很大差距。攻击者可分为“剧本幼子”、“黑客行动主义者”、“民族国度”、“有组织犯罪”、“内部人士”和高级悠久威胁（APT）等群体。

“剧本幼子”通常是低级此外攻击者，他们攻击组织的动机是为了名声和认可。TalkTalk公司是“剧本幼子”造成的数据泄露的一个很好的例子，由于他们被SQL注入攻击了，这是一种多所周知的web利用法式攻击，已经存在多年。此攻击是OWASP Top 10 web利用法式攻击的一部门。该故事强调了一点，即组织应该首先正确把握安全基础知识，不然他们可能等闲成为低技术攻击者的指标。

另一个攻击者集体是“有组织犯罪”，他们的动机重要是金融方向，就像银行劫匪对传统银行采取行动一样。金融机构尤其有兴致；ぷ约好馐苷庖恍形挠跋，由于资金损失可能会对其业务和名誉产生影响。

“民族国度”攻击者可能是所有行为者中最复杂的，由于他们由表国当局赞助，有政治动机。

“内部人士”攻击者则可能是最难防备的行为人之一，由于内部人士的界说是在一个组织中处于受信赖的地位。他们也是一个难对付的威胁体，由于他们的动机可能分歧，可能是出于经济动机，可能是被勒索，也可能只是纰漏大意。一个组织能够通过布景调查来；ぷ约，例如查看其财政汗青或利益矛盾。

“高级悠久威胁（APT）”攻击者被以为是占有大量资源和专业知识的复杂参加者。这个攻击者的其他特点蕴含有一个特殊的指标，必要他们维持对峙不懈，因而他们会使用隐身和躲避技术来实现这个指标。这一攻击者通常是民族国度或有组织犯罪，由于他们通常拥有必要的成熟度和资金，有能力在指标系统上维持悠久化。

LockheedMartin公司成立的网络杀伤链（Cyber Kill Chain）提供了一种建模敌方行为的步骤，以便组织可能检测和预防攻击者的活动，该链显示了攻击者为实显熹指标必须实现的活动。杀伤链由图10所示的七个阶段组成。杀伤链是显示APT攻击阶段的盛行方式，由于它提供了每个阶段的技术信息以及若何防御攻击的领导。

图 10: Lockheedmartin 网络杀伤链

Mitre ATT&CK框架是基于真实世界观察的全球都可接见的匹敌战术和技术知识库，可用于组织中的威胁建模，可归类为攻击库。该框架宽泛利用于安全行业，组织能够凭据该框架中的数据组建红队。

在图11中，我们展示了框架中蕴含的ATT&CK战术的示例。该框架蕴含敌手细节、战术、技术缓和解措施。Mitre已经创建了很多工具来补充其框架，例如，他们有一个攻击导航器，允许用户通过从其框架中提取数据来打算安全测试。

图 11: Mitre ATT&CK战术类别

要成功地进行安全测试会晤对很多挑战。例如，一种概想以为，传统的渗入测试并没有思考到整个组织的安全态势以及它们若何应对攻击。这导致必要进行红队测试，由于这类测试着眼于整个组织及其脆弱之处，并测试事务响应能力。此表，还发现组织中的防守队员（蓝队）和攻击队员（红队）之间可能存在脱节。这是一个问题，由于若是威胁没有得到适当的通报，就无法适本地缓解。这支持了紫队测试的必要，在紫队测试中，两个团队共同；ひ桓鲎橹。

一篇关于渗入测试是否应尺度化的论文提出了渗入测试的质量问题。作者发现，测试公司并不总是提供足够的测试了局信息。而正确地诠释这个问题是若何产生的，以及它是若何成为一个问题的，这才将更为有益。提供更多信息将有助于组织更好地理解和解决将来版本中的问题。

与此有关，作者还在他们的钻研中发现，渗入测试公司不愿意提供问题的概想证明，这可能是由于他们但愿我们必要为沉新测试支付额表用度。然而，这会产生负面影响，由于组织不太可能真正解决问题，他们没有齐全理解这个问题，或者自己很难复现这个问题。

组织愿意支付几多用度和测试公司愿意提供几多数据之间似乎存在平衡。同样沉要的是，选择相宜的测试公司，其测试人员必要拥有公认的资质，不然有可能无法获得拥有有价值发现的高质量测试。无法保障测试人员会发现所有问题，这就是为什么将来必要沉新测试系统。从威胁建模的角度来看，若是一个组织过于依赖第三方测试人员，并且不齐全相识他们的威胁，这可能会对组织造成侵害。

在上面的内容中，我们会商了分歧类型的安全测试，并深刻钻研了渗入测试和红队和紫队测试。在表3中，我们选择了一系列开源和贸易工具，用于对系统进行安全测试和威胁建模。

基于js1996官网钻研，总结了该工具是什么以及该工具的潜在优势和劣势。当然，有很多工具可用于安全测试主张，我们选择了一些适合本文主题的工具；威胁建模和安全测试。

表 3: 有关安全测试工具提要

（未完待续）

关于js1996官网信息安全服务团队

js1996官网信息安全服务团队由九维安全能力专家组成，其职责别离为：红队持续突破、橙队擅于赋能、黄队致力建设、绿队跟踪改进、青队急剧措置、蓝队实时防御，紫队不休优化、暗队专一谍报和钻延注白队运营治理，以系统化的安全人才及技术为客户赋能。