外部渗透测试在云技术中的地位举足轻重

出于安全考虑，许多企业将IT服务的重要部分卸载，应用程序和其他数据模糊的区域被称为云。很多时候，数据迁移到云意味着将数据迁移到服务器或一个服务器集群，保留在远程数据中心。如果不必将数据传输到另一个地方，远程卸载数据是一种常被推荐的安全操作。

然而，即使将处理数据的责任转移，这些数据真的更安全吗？云用户如何知道数据中心比原来数据托管的地方更安全呢？答案就是要及时了解数据托管中心是否已经完成渗透测试。

外部渗透测试的好处

许多网络企业定期进行渗透测试。这使企业安全技术人员获得全面、最新的系统安全情况。此外，外部渗透测试基础设施允许企业估计符合安全标准。一些企业有专门的团队，针对自己的网络进行渗透测试。然而，大多数企业依靠更专业的第三方人员进行渗透测试。

一些组织以某种形式接受、处理和储存支付卡行业(PCI)的数据。根据普遍接受的行业标准，不敏感的数据类型，如PCI数据，必须从处理其他的网络区域分割出来。外部渗透测试允许企业决定如何严格遵守这些标准。

渗透测试是怎么做的?

如果一个公司选择将敏感数据迁移到云，通常选择将数据卸载到远程数据中心。如果公司对数据中心如何适应其安全标准感到好奇，外部渗透测试则需要由第三方如VerSprite完成。

完成商定的测试范围之后，许多渗透测试服务提供商通过黑盒子方法开始测试。这意味着测试人员在一个相对安全、可靠的环境下对目标进行研究。黑盒子方法使渗透测试人员更好地模拟攻击者惯用的手段。

许多数据中心管理者使用企业级软件，他们可以集中管理数据中心的资产。而且，通过对软件进行配置，数据中心管理人员能够远程管理资产。进而，渗透测试人员可以经常发现数据中心管理者使用公开分配IP地址的接口监督他的资产。测试人员可以通过WhoIs查询数据中心的远程域或一个简单的Google搜索。一旦发现IP地址，渗透测试人员可以使用Nmap端口扫描或其他方法，查看开放端口、操作系统信息、用户代理字符串和其他信息，更深入地挖掘系统中存在的漏洞。

经过渗透测试人员初步研究，他们会检查可能的网络入口点。如果属于深入渗透商定的范围的一部分，测试人员将进一步冒险进入网络搜索管理资产。

从数据中心的角度来看，由于承担着处理大量数据的责任，更应该定期进行外部渗透测试。虽然许多企业可以推卸掉责任，但数据中心可能没有这种待遇。