到底什么是渗透测试？

到底什么是渗透测试？

如果您有一个保护有价值的数据或其他资产的软件系统，您可能希望对其进行安全漏洞测试。这可能导致您探索安全评估的类型，并且您可能发现最常引用的一种是“渗透测试”。

然而，许多公司没有意识到，“渗透测试”通常根本不是真正的渗透测试。更糟糕的是，他们没有意识到他们实际上可能需要其他东西。

在测试应用程序的安全漏洞时，术语总是被错误地使用。如果您没有意识到这种情况正在发生，可能会产生可怕的后果。

大多数人要求进行渗透测试，但却被卖给漏洞扫描。然而，大多数人真正需要的是完全不同的东西：漏洞评估。

这些是截然不同的事情。每一个都需要不同的时间、精力和金钱的投入。每个人都有不同的目标。每个都会产生不同的结果。

最常引用的安全测试类型是“渗透测试”。这已经成为一个包罗万象的术语，不幸的是，它具有误导性。

真正的渗透测试是一种战术服务，适用于稳健、强化、经过彻底测试的系统。这是衡量单一结果的时间有限的工作。例如，渗透测试可能会试图确定“攻击者是否可以将基本用户权限升级为管理员权限？” 结果要么是，要么不是。没有其他结果。

当您拥有成熟且经过充分测试的防御，并且您想要确定该防御是否仍然能够抵御模拟攻击时，渗透测试非常有用。可以将其想象为汽车制造商想要了解车辆在碰撞情况下的表现。他们真的把它撞到墙上，看看会发生什么。这对于理解特定场景非常有用。但这仅适用于已经经过彻底测试的系统。它实际上只是为了告知在特定场景中会发生什么；它并不旨在是整体的。

现在，这就是渗透测试应该做的。它很糟糕，它试图寻找漏洞。不幸的是，这个术语经常被用来指代其他东西：漏洞扫描。由于误导性的营销和困惑的客户，“漏洞扫描”已成为“渗透测试”的代名词。

漏洞扫描涉及运行自动化工具来查找已知存在的常见漏洞。目标是快速且廉价地发现基本问题，包括检查未修补的漏洞。鉴于运行扫描仪是攻击者首先采取的步骤之一，因此您也这样做是个好主意。你想看看他们看到了什么。如果您想将时间安排和成本保持在最低限度（并且理解这也会限制您由此获得的价值），那么这是很好的选择。

它就像汽车“检查引擎”灯亮起时机械师使用的诊断工具。该工具扫描已知问题，返回可读代码。它简单、便宜、快捷。但这肯定不是评估车辆安全性的全面方法。

想想看：您要求模拟一场车祸，但却被出售了一种移除检查发动机灯的方法。这些是非常不同的！

令人沮丧的混乱还不止于此。

好像索要一件东西却被卖掉其他东西还不够令人沮丧，事实是：这两种东西都没有提供人们通常追求的结果。

当谈到安全测试时，大多数人都希望全面了解其系统的安全漏洞。他们想知道整个系统存在什么问题以及如何解决这些问题，并确定首先要关注的问题的优先级。然后他们希望能够证明系统更安全。

这不是渗透测试或漏洞扫描所能提供的。但这正是漏洞评估所提供的。

漏洞评估利用经验丰富的人员手动解决问题，以解决您的独特情况。在现实世界中，您要防御的是聪明、积极主动、能够解决问题的人类，而不仅仅是扫描。漏洞评估可以帮助您进行相应的防御。它们非常适合经过充分强化的系统以及仍在摸索中的系统（以及介于两者之间的每个人）。

与单个碰撞测试或运行诊断工具来清除“检查引擎”指示灯不同，漏洞评估就像整个安全工程部门。他们考虑所有不同的安全系统——从安全带到安全气囊——以及它们如何协同工作。这是对弱点所在以及如何改进的整体看法。

正如您所看到的，每个术语的含义都截然不同，因此了解四件事很重要。首先，有一个区别。其次，术语之间经常被误用。第三，他们不应该这样。第四，由你来确保你得到你需要的东西。

做到这一点的最好方法就是从你的目标开始。您想通过测试实现什么目标？

如果您有一个成熟、高度强化的系统，并且已经通过了广泛的安全测试，并且您想知道它如何抵御针对特定区域的模拟攻击，请进行渗透测试。

如果您需要快速查找基本的常见问题，将成本降至最低，并且无需查找自定义漏洞就可以，那么请进行漏洞扫描。

如果您需要找到尽可能多的安全漏洞（包括自定义漏洞），了解其严重性，并根据优先级排名修复它们，请获取漏洞评估。与安全公司讨论测试时要明确您的目标，无论使用哪个术语来指代测试，您都将能够获得所需的结果。