ISSAF渗透测试框架

ISSAF渗透测试框架(https://untrustednetwork.net/files/issaf0.2.1.pdf)由OISSG组织牵头。尽管不再直接支持或维护它，但它提供了一种有效的渗透测试总体方法。

ISSAF 框架旨在为测试人员提供全面的方法来识别漏洞、测试漏洞以及清理测试后留下的任何痕迹。

ISSAF 将其渗透步骤分为三个不同的阶段，每个阶段都有特定的步骤列表。这些包括：

第一阶段:规划和准备

• 与利益相关者和测试团队的沟通
• 确定范围和方法
• 关于测试用例和升级路径的协议

第二阶段:评估

• 信息收集
• 网络映射
• 漏洞识别
• 渗透
• 初始访问和权限升级
• 后利用
• 路线覆盖

第三阶段: 报告、清理和痕迹销毁

• 生成报告
• 删除渗透测试工具包
• 清除痕迹(文件/目录)

与其他渗透测试框架一起，ISSAF 可用于评估组织环境的安全性。然而，ISSAF 在对现有系统进行重大更改后特别有用，因为它强调清理遗留的痕迹 ，以确保系统在评估期间和之后仍然安全地保持正常运行。

ISSAF 还通过将步骤分解为分阶段的方法，提供独特的渗透测试布局；如果喜欢这种类型的分解，那么遵循指南可能会更容易。

ISSAF 确定渗透测试期间要解决的不同测试层，可以在整个评估过程中提供结构良好的方法。即使在经过强大的渗透测试后，它还可以帮助确保网络保持安全。