網(wǎng)絡(luò)安全至關(guān)重要，組織致力于對敏感的信息資產(chǎn)建立有效的控制及保護，關(guān)注的重點在核心的業(yè)務(wù)系統(tǒng)、內(nèi)部辦公系統(tǒng)、財務(wù)系統(tǒng)、人事系統(tǒng)…這一切可歸為組織的生產(chǎn)環(huán)境。與之不同，測試環(huán)境更像一個過客，會階段性的出現(xiàn)在組織內(nèi)部，而人們往往對其不會有足夠的關(guān)注。

在交付技術(shù)產(chǎn)品或服務(wù)之前，組織通常會搭建測試環(huán)境，以確保在不影響正常業(yè)務(wù)的情況下，可控、高效、安全的完成測試或開發(fā)，這是當前公認的最佳實踐。在理想狀態(tài)下，這些“非生產(chǎn)”或測試環(huán)境應(yīng)該與生產(chǎn)環(huán)境完全隔離，以防出現(xiàn)安全事故。在現(xiàn)實中，應(yīng)只有公司內(nèi)部人員了解測試環(huán)境的情況，對公眾來說，完全沒有必要公開。然而，在安全研究中，經(jīng)?？梢园l(fā)現(xiàn)暴露的測試環(huán)境憑證，這可能會導(dǎo)致嚴重的后果。

測試環(huán)境帶來的風險

測試環(huán)境自身對于攻擊者的價值，遠大于我們的認識，測試環(huán)境可以反應(yīng)出組織當前數(shù)字業(yè)務(wù)的部分情況，會存在比生產(chǎn)環(huán)境更多的漏洞，承載的信息還可幫助攻擊者更好的利用社會工程學攻擊。

相比生產(chǎn)環(huán)境來說，測試環(huán)境憑證更好獲得，對漏洞的管理也更加松懈，給攻擊者留下了更多的機會，盜竊測試環(huán)境中的數(shù)據(jù)對攻擊者來說也更加容易。在某些場景下，例如因為偽造的數(shù)據(jù)無法達到測試效果，測試者會在測試環(huán)境中使用生產(chǎn)數(shù)據(jù)，這些數(shù)據(jù)可能是客戶信息、公司的機密數(shù)據(jù)、一旦暴露，不僅會面臨監(jiān)管機構(gòu)的罰款，對公司聲譽帶來的影響，更是無法估量的損失。

此外，盡管測試環(huán)境不應(yīng)與生產(chǎn)環(huán)境關(guān)聯(lián)，我們也應(yīng)重視對其的保護。一旦測試環(huán)境同生產(chǎn)環(huán)境“重疊”，那么測試環(huán)境則成為了進入生產(chǎn)環(huán)境的通道，測試環(huán)境存在的漏洞也即成為了生產(chǎn)環(huán)境的漏洞。攻擊者可以此為跳板，利用社會工程獲得對組織內(nèi)部系統(tǒng)的更大訪問權(quán)限。

如何降低測試環(huán)境帶來的風險

1. 測試環(huán)境應(yīng)該始終使用與生產(chǎn)環(huán)境不同的憑證，這樣即使泄漏，測試憑證也不能用于訪問生產(chǎn)環(huán)境。

2. 測試憑證應(yīng)該遵循權(quán)限最少的原則，只能使用測試憑證進入測試環(huán)境而不能進入其他系統(tǒng)。

3. 在測試環(huán)境中啟用多因素身份驗證(MFA)，以創(chuàng)建另一道防線以阻止攻擊者訪問公司的系統(tǒng)。

4. 避免在測試環(huán)境中使用真實(生產(chǎn))數(shù)據(jù)，盡可能使用或開發(fā)工具為測試環(huán)境生成虛假數(shù)據(jù)。如果必須使用生產(chǎn)數(shù)據(jù)，在使用前盡可能的脫敏。

5. 實現(xiàn)技術(shù)控制，如網(wǎng)絡(luò)分割：健壯的網(wǎng)絡(luò)安全更利于保護系統(tǒng)，無論是生產(chǎn)環(huán)境還是測試環(huán)境。

6. 關(guān)注供應(yīng)商風險：以上幾條均是通過組織內(nèi)部的調(diào)整以達到降低使用測試環(huán)境風險的目的，但我們也不能忽略一個關(guān)鍵的角色，提供服務(wù)or技術(shù)的供應(yīng)商。即使內(nèi)部的防范再到位，若憑證從供應(yīng)商、甚至供應(yīng)商的合作伙伴手中流失，給組織帶來的傷害是一樣的。在安全牛發(fā)布的《供應(yīng)商安全風險激增，安全評級服務(wù)不可或缺》一文中，對供應(yīng)商給組織帶來的風險進行了綜合的闡述，安全評級服務(wù)為應(yīng)對這類特別的風險提供了一種可行的方法。