渗透测试与漏洞扫描：主要区别

服务简介

漏洞扫描使用工具对主机、网站或应用程序进行检查，并报告其能够识别的问题：缺失的补丁、过时的软件版本、暴露的服务、薄弱的 TLS 设置或常见的错误配置。扫描速度快、可重复执行，因此适合用于日常安全维护。其局限也广为人知：扫描器会产生误报，会遗漏依赖业务逻辑的问题，也无法告诉您一个低风险发现与另一个发现组合后是否会变得严重。渗透测试从书面范围和测试规则（Rules of Engagement）开始。测试人员会使用包括扫描器在内的工具，但随后以人工方式工作：验证发现项、测试身份验证与授权、检查角色与租户之间的隔离方式，并沿着攻击者可能尝试的现实路径进行测试。其产出是一份包含证据、严重程度和修复建议的报告，而不是一份原始的工具输出清单。简而言之，扫描告诉您哪里可能有问题；渗透测试则告诉您在约定范围内哪些问题经证实存在，以及为何重要。

适用对象

此对比适用于以下团队：

• 收到客户、合作伙伴或保险公司提出的“安全测试”要求，需要弄清对方实际要求的是什么
• 已在定期进行扫描，想了解人工测试能否带来有意义的补充洞察
• 即将上线新的 Web 应用程序、API 或移动应用，需要决定上线前测试应达到何种深度
• 需要向管理层解释，为何两份“测试”报价在工作量和产出上差异很大

帮助厘清的问题

将两者并列阅读，有助于厘清：

• 您的问题是关于已知问题的日常维护（扫描），还是特定系统中可被利用的风险（渗透测试）
• 现有扫描报告中哪些发现可能是干扰信息，哪些值得人工验证
• 业务逻辑、访问控制和多步骤攻击路径为何通常不在自动化工具的检测范围之内
• 利益相关方期望在最终报告中看到哪些证据

包含内容

• 扫描清单：确定资产清单、定期安排扫描、指定负责人分诊结果，并持续跟踪修复进展
• 渗透测试清单：在工作开始前以书面形式约定目标、环境、测试时间窗口、访问方式、指定联系人和停止条件
• 确认已获得系统所有者的书面授权，以及运营范围内系统的托管服务商或供应商的书面授权
• 决定是否需要经过身份验证的测试（为每个角色提供测试账户），以便检查访问控制问题
• 约定发现项的评级方式，以及如何与指定联系人安全地共享证据
• 规划复测时间窗口，以便在修复后确认已修复的发现项

不包含内容

• 声称仅凭扫描即可证明应用程序是安全的
• 声称渗透测试能发现所有弱点；渗透测试是在约定时间内检查约定范围
• 提供利用说明，或测试您不拥有或无权测试的系统
• 认证、合规批准或正式审计意见

适用时机

如果您需要对大量资产进行定期、广泛的可见性检查，并且已有分诊和修复扫描结果的流程，请选择扫描。如果某个特定系统对业务至关重要、客户或合作伙伴要求提供人工测试证据、即将进行重要上线，或身份验证、支付或数据处理发生重大变更，请选择渗透测试。许多组织两者兼用：通过定期扫描保持日常安全状态稳定，并通过周期性渗透测试检查风险最高的系统。如果您目前还无法列出资产或其负责人，那么更全面的基线评估可能是比两者都更有用的第一步。

我们的方法

从您需要做出的决策入手。如果客户问卷要求提供年度渗透测试，扫描报告通常无法满足要求。如果您只是想知道面向互联网的服务器是否已打补丁，完整的人工测试可能超出您的需要。接下来，确认范围：包括哪些应用程序、API、环境和用户角色，以及明确排除哪些内容。约定测试时间窗口以及谁有权暂停工作。我们的 Penetration Testing 服务遵循这一流程：确定范围、书面授权、在约定的测试规则内进行测试、提供附有优先级修复建议的书面发现报告、进行结果讲解会，并在包含的情况下对约定的发现项进行复测。无论选择哪家服务商，都请在签约前要求查看样本报告，并确认报告将经过验证的发现项与信息性观察区分开来。最后，为修复工作预留时间。如果测试发现的问题无人有时间修复，测试的价值就十分有限，因此请将测试日期与团队处理结果的能力相匹配。

Penetration Testing

常见问题

相关文章