渗透测试基础
前言：在tryhackme上学习渗透测试基础，故记录一下
1 网络安全框架
概念：
网络安全框架是一套结构化的方法、工具和技术，用于保护计算机网络和系统免受各种网络威胁和攻
击。它的主要目标是提供一种综合性的解决方案，以确保网络的机密性、完整性和可用性。
网络安全框架通常涵盖以下方面：
1 风险评估和管理：网络安全框架帮助组织评估和管理网络中存在的潜在风险。这包括识别和评估各种
威胁、漏洞和弱点，并采取相应的措施来减少和管理这些风险。
2 访问控制：网络安全框架确保只有授权用户可以访问网络资源和系统。它包括身份验证、授权和权限
管理等功能，以确保只有合法用户可以使用网络资源。
3 网络监测和检测：网络安全框架提供实时的监测和检测机制，以识别网络中的异常活动和潜在的安全
威胁。它使用各种技术，如入侵检测系统（IDS）、入侵预防系统（IPS）和安全信息和事件管理
（SIEM）等。
4 数据保护和加密：网络安全框架提供数据保护和加密的机制，以确保敏感数据在传输和存储过程中的
机密性和完整性。它包括使用加密算法、访问控制和数据备份等措施。
5 应急响应和恢复：网络安全框架定义了应急响应和恢复计划，以应对安全事件和攻击。它包括实施紧
急措施、恢复系统和数据，并进行事后调查和分析等。
综上所述，网络安全框架提供了一个综合的方法和工具集，用于保护计算机网络和系统免受各种网络威
胁和攻击，并确保网络的机密性、完整性和可用性。它帮助组织评估和管理风险、实施访问控制、监测
和检测异常活动、保护数据和应对安全事件。
列举几个常见的网络安全框架吧
1 OSSTMM
2 OWASP
3 NIST Cybersecurity Framework 1.1
4 NCSC CAF
想要深入了解的可以去搜一搜具体的信息
2 测试的作用域
测试应用程序或者服务时有三个主要作用域，黑盒测试，灰盒测试，白盒测试
2.1 黑盒测试
在黑盒测试中，测试人员不会有程序或者网页内部工作方式的任何信息，黑盒测试完全模拟黑客的攻击
过程，测试人员充当常规用户，测试应用程序或者然间的功能和交互，通过与界面的交互，查看是否符
合预期。
2.2 灰盒测试
测试人员在了解部分内部代码的前提上对程序或者网页进行的测试，在测试功能的同时也会考虑部分的
内部逻辑，灰盒测试偏向于企业内部安全测试。
2.3 白盒测试
测试人员为专业的开发人员，可以看见和分析源代码、算法和数据结构等，以便设计测试用例来验证软
件是否正确执行，进一步发现隐藏的错误。白盒测试偏向于开发，对代码的逻辑、质量进行安全测试。
