脆弱性和滲透測試 (Vulnerability and penetration testing)

為了確保您的Web型態的數位服務系統和應用系統的安全，需要的不僅僅是良好的設計和開發過程。

網站的弱點和滲透測試指的是分析和測試數位服務是否有安全性問題。通常是通過專業的第三方來執行測試的一項專業工作。

請把這樣的安全測試工作，當作是在您的專案中會持續進行的活動，而不是當作最後才執行的一項檢查。

引入適當的專家

對數位服務的產品及它的使用者來說，安全性是非常重要的。此外，產生出一份非技術人員及網站開發者都能夠看得懂的弱點分析報告和看得懂報告提及的風險這也是至關重要的。

「資訊安全」的概念不僅僅是關於數位服務這樣的產品是否安全 – 這也是關於如何去減少的各種面向問題的風險過程。

您應該在正式發布這項數位服務給公眾之前，找一個獨立的機構來幫助查找數位服務系統/應用系統的潛在安全問題，因為這有助於盡早確定這個數位服務是否有什麼安全弱點。

與CESG 交流

CESG是國家技術監督資訊安全確保單位。總部設在切爾滕納姆（Cheltenham），他們同時提供了資訊安全的標準和建議。

如果你的專案是相當大的，那麼您應該盡早與CESG聯絡及交流。他們可以針對大型專案的潛在問題提供指導和專業知識，並幫助您確保已經執行了正確的測試工作。

使用內部的專業知識，以及外部服務

您應該針對整體全部的數位服務產品開發階段，均安排了資訊安全測試工作，此外，當您的數位服務產品已經正式營運時，也應該安排定期性的安全測試工作。

如果您能有第三方的專業團體來執行安全測試工作，是引入專家及引入不同的觀點的一個好方法。然而，您還是必須讓打造這項數位服務的團體知道資訊安全是團隊本身的責任，而不是外部專家的責任，這也是很重要的。

不僅僅是軟體

在測試網站的弱點作業時，應該看看與整個系統關聯的各項環節，而不是僅僅只看網站軟體本身，例如：

• 實體安全性（這裡是指硬體設備是安置在哪裡?以及這個空間的實體安全性又是如何？）
• 在線上服務的系統與客務服務中心之間的互動狀態（連結狀態）

一個明顯的例子是實體安全性（指硬體設備是安置在哪裡?以及這個空間的實體安全性又是如何？），但一個更有趣的例子，往往是一個在線上服務的系統與客戶服務中心之間的連結狀態。

從客戶服務中心可以取得或變更使用者資料，某方面來說是可以讓有心人有機會可以滲透侵入使用者使用的數位服務系統（帳號）。舉例來說，有心人可能會要求客戶服務中心去更改被害者的電子郵件地址（編按：透過某種社交工程的方式），接著使用數位服務系統的忘記密碼的機制，使有心人士可以取得這位被害者的這個數位服務系統的帳號登入權限；而那項忘記密碼的設計機制指的是，系統信賴使用者擁有開啟登錄的電子郵件的權限，（因此可以做為驗證是使用者本人）。因此，這樣的客戶服務中心與系統的連結設計確實會發生安全性問題，而且也確實有真實案例發生過。

在可能的情況下實施自動化測試

當在檢測網站安全性漏洞及弱點時，一些試探性的人工測試總是好主意，但因為那將會是費時且昂貴的，因此，應該也會帶著一定程度的自動化測試。

這應該會配合需要測試的特徵為何，來決定需要採用是採取筆試的方式或是採用特殊工具的方式進行自動化測試：

• 靜態分析（Static analysis）
• 輸入模糊測試（input fuzz testing）

為什麼GDS需要這樣做?

數位服務網站是本質上來看是坐落在一個充滿敵意及不安全的環境，而做為一個政府服務的性質的網站，更意味著他們從各種廣泛的威脅要素來看都會成為目標。 – 從金錢盈利驅動的犯罪和網上激進分子，甚至到民族國家理念驅動。即使個人資料或敏感訊息沒有風險，都即使是是最小的問題也都會損害政府的信譽。

Web應用系統的漏洞及弱點往往遵循一個相對較小數目的共通模式。而自動和手動測試，以及對這些常見問題的認識，都可以對您的數位服務系統的安全性有重大影響。

政府認證流程通常與經過認證及與批准確認供應商 合作，規範了某種形式的網站漏洞及弱點測試。而政府認為這是所必須要做到的工作最低限度。

延伸閱讀

• OWASP前10大網站弱點

譯者：Daniel Lin
校稿者：
原始出處：https://www.gov.uk/service-manual/operations/penetration-testing