滲透測試與漏洞掃描：主要差異

服務簡介

漏洞掃描使用工具對主機、網站或應用程式進行檢查，並回報其能識別的問題：缺少的修補程式、過時的軟體版本、暴露的服務、薄弱的 TLS 設定或常見的錯誤設定。掃描速度快、可重複執行，因此適合用於日常安全維護。其侷限也廣為人知：掃描器會產生誤報，會遺漏取決於業務邏輯的問題，也無法告訴您一個低風險發現與另一個發現組合後是否會變得嚴重。滲透測試從書面範圍與測試規則（Rules of Engagement）開始。測試人員會使用包括掃描器在內的工具，但隨後以人工方式進行：驗證發現項目、測試身分驗證與授權、檢查角色與租戶之間的隔離方式，並沿著攻擊者可能嘗試的實際路徑進行測試。其產出是一份包含證據、嚴重程度與修復建議的報告，而非一份原始的工具輸出清單。簡而言之，掃描告訴您哪裡可能有問題；滲透測試則告訴您在約定範圍內哪些問題經證實存在，以及為何重要。

適用對象

此比較適用於以下團隊：

• 收到客戶、合作夥伴或保險公司提出的「安全測試」要求，需要釐清對方實際要求的內容
• 已定期進行掃描，想了解人工測試能否帶來有意義的補充洞見
• 即將上線新的 Web 應用程式、API 或行動應用程式，需要決定上線前測試應達到何種深度
• 需要向管理階層說明，為何兩份「測試」報價在工作量與產出上差異很大

有助釐清的問題

將兩者並列閱讀，有助於釐清：

• 您的問題是關於已知問題的日常維護（掃描），還是特定系統中可被利用的風險（滲透測試）
• 現有掃描報告中哪些發現可能是雜訊，哪些值得人工驗證
• 業務邏輯、存取控制與多步驟攻擊路徑為何通常不在自動化工具的偵測範圍之內
• 利害關係人期望在最終報告中看到哪些證據

包含內容

• 掃描檢查清單：確定資產清單、定期安排掃描、指定負責人分類處理結果，並持續追蹤修復進度
• 滲透測試檢查清單：在工作開始前以書面方式約定目標、環境、測試時段、存取方式、指定聯絡人與停止條件
• 確認已取得系統擁有者的書面授權，以及營運範圍內系統之代管服務商或供應商的書面授權
• 決定是否需要經身分驗證的測試（為每個角色提供測試帳號），以便檢查存取控制問題
• 約定發現項目的評等方式，以及如何與指定聯絡人安全地分享證據
• 規劃複測時段，以便在修復後確認已修正的發現項目

不包含內容

• 宣稱僅憑掃描即可證明應用程式是安全的
• 宣稱滲透測試能找出所有弱點；滲透測試是在約定時間內檢查約定範圍
• 提供利用說明，或測試您並未擁有或無權測試的系統
• 認證、合規核准或正式稽核意見

適用時機

如果您需要對大量資產進行定期、廣泛的可視性檢查，且已有分類處理與修復掃描結果的流程，請選擇掃描。如果某個特定系統對業務至關重要、客戶或合作夥伴要求提供人工測試證據、即將進行重要上線，或身分驗證、付款或資料處理發生重大變更，請選擇滲透測試。許多組織兩者並用：透過定期掃描維持日常安全狀態穩定，並透過週期性滲透測試檢查風險最高的系統。如果您目前還無法列出資產或其負責人，那麼範圍更廣的基準審查可能是比兩者都更有用的第一步。

我們的方法

從您需要做出的決策著手。如果客戶問卷要求提供年度滲透測試，掃描報告通常無法滿足要求。如果您只是想知道面向網際網路的伺服器是否已安裝修補程式，完整的人工測試可能超出您的需要。接著，確認範圍：包括哪些應用程式、API、環境與使用者角色，以及明確排除哪些項目。約定測試時段以及誰有權暫停工作。我們的 Penetration Testing 服務遵循此流程：確定範圍、書面授權、在約定的測試規則內進行測試、提供附有優先順序修復建議的書面發現報告、舉行結果說明會，並在包含的情況下對約定的發現項目進行複測。無論選擇哪家服務商，都請在簽約前要求查看範例報告，並確認報告將經驗證的發現項目與資訊性觀察區分開來。最後，為修復工作預留時間。如果測試發現的問題無人有時間修正，測試的價值就相當有限，因此請將測試日期與團隊處理結果的能力相互配合。

Penetration Testing

常見問題

相關文章