VAPT 详解：漏洞评估与渗透测试

服务简介

漏洞评估（VA）部分覆盖面广。它将自动化扫描与人工审查相结合，在约定资产中识别缺失的补丁、过时的组件、暴露的服务、薄弱的配置以及常见的 Web 问题。渗透测试（PT）部分则注重深度。测试人员针对选定目标（通常是 Web 应用程序、API 和移动应用）进行人工测试，验证发现项，并测试身份验证、会话处理、角色之间的访问控制、数据暴露和业务逻辑。两者结合，VA 提供覆盖面，PT 则让您确信哪些问题确实可被利用。VAPT 项目应以一份书面报告收尾，报告记录范围、方法、按严重程度评级并附证据的发现项、修复建议，以及在约定情况下修复后的复测结果。相关要求有时会提及 OWASP Top 10 或 OWASP 移动应用安全指南等框架；这些是测试人员关注内容的有用参考。

适用对象

VAPT 通常由以下各方提出或为其开展：

• SaaS、金融科技和电子商务团队，其企业客户在采购过程中要求提供近期的 VAPT 报告
• 正在与合作伙伴、银行或支付服务商对接、而对方在集成前要求提供安全测试证据的企业
• 准备公开上线 Web 或移动应用程序的产品团队
• 更改了托管、身份验证或支付流程，希望获得独立检查的组织

帮助厘清的问题

范围明确的 VAPT 有助于厘清：

• 要求方实际希望测试哪些应用程序、API 和环境
• 相关要求是否指定了某类审计方或资质，需要在选择服务商之前予以确认
• 哪些发现项是经过验证的风险，哪些只是扫描器的观察结果
• 在能够放心共享报告之前必须完成哪些修复

包含内容

• 从要求方获取书面的确切要求：资产、测试深度、报告格式以及对服务商的任何要求
• 列出目标：域名、应用程序 URL、API 基础路径、移动应用版本以及环境（预发布或生产）
• 为每个用户角色准备测试账户，使访问控制测试具有实际意义
• 确认书面授权、测试时间窗口、指定联系人和停止条件
• 如托管、CDN 或 WAF 服务商的条款有要求，事先通知对方
• 约定严重程度评级、报告格式以及证据的共享方式
• 预留修复发现项的时间，并申请对约定问题进行复测

不包含内容

• 声称 VAPT 能使应用程序安全或合规
• 未对照具体要求进行核实，就声称某家服务商满足特定资质或入册要求
• 未经所有者许可测试第三方系统
• 关于某项具体规定要求的法律或监管建议

适用时机

当明确的交易对手提出要求、在重要上线之前，或在用户登录、支付或访问数据的方式发生重大变更之后，请委托开展 VAPT。如果要求来自受监管的业务关系，请仔细阅读相关要求：有些要求会指定经认可或入册的审计方（在印度，一些监管机构和交易对手会提及 CERT-In 入册审计方）、特定范围或固定的测试周期。请先与要求方确认这些细节，因为与要求不符的报告可能需要重做。本文仅为一般性信息，不构成法律或监管建议。

我们的方法

以要求方的清单为起点，再加入对您业务风险最高的系统，即使没有人问到这些系统。尽可能在与生产环境一致的预发布环境中测试，如确需测试生产环境，请事先约定处理方式。我们的 Application Security Review 涵盖 Web 应用程序和 API 测试，提供按严重程度分级的书面发现项和修复建议；更广泛的多环境或网络范围则通过我们的 Penetration Testing 服务处理。在这两种情况下，范围、授权和报告形式都会在工作开始前以书面形式确认。交付后，请先修复高危和严重级别的发现项，记录对任何已接受风险的决定，并申请复测。然后共享执行摘要或修复状态说明函，而不是完整的技术报告，除非要求方确实需要这一层级的细节，并有安全的接收方式。

Application Security Review

常见问题

相关文章