滲透測試

滲透性測試（Penetration Test）是指滲透測試者在用戶(hù)授權的前提下，盡可能完整地模擬黑客使用的漏洞發(fā)現技術(shù)和攻擊手段，對目標網(wǎng)絡(luò )/系統/主機/應用的安全性作深入的探測，發(fā)現系統存在的漏洞和安全隱患，并協(xié)助解決存在的漏洞和安全隱患，挺高系統的安全防范能力。

? 制定方案：滲透測試方案是對技術(shù)檢測工作的說(shuō)明，即向用戶(hù)展示技術(shù)檢測范圍、技術(shù)檢測可能會(huì )采取的測試手段、技術(shù)檢測風(fēng)險以及規避措施、技術(shù)檢測工具等。 ? 客戶(hù)授權：客戶(hù)正式書(shū)面授權委托，并同意實(shí)施方案是進(jìn)行技術(shù)檢測的必要條件，是技術(shù)檢測人員進(jìn)行合法技術(shù)檢測的基礎，是合同雙方遵從法規并受法律保護的前提?？蛻?hù)正式簽署技術(shù)檢測授權書(shū)后，技術(shù)檢測工作方可正式開(kāi)始。 ? 信息收集操作：收集滲透性測試所需信息（包括設備存活情況、網(wǎng)絡(luò )拓撲情況以及掃描發(fā)現漏洞情況等），準備相關(guān)測試工具。在測試過(guò)程中，根據滲透深度情況，不斷收集相關(guān)環(huán)境信息及漏洞情況，并進(jìn)行綜合分析。 ? 滲透測試：根據信息搜集與分析的結果，初步擬定滲透測試方法、測試項以及攻擊路徑，使用模擬黑客攻擊的手段，對被評估系統進(jìn)行滲透。 ? 生成報告：技術(shù)檢測報告是對整個(gè)檢測工作的總結，技術(shù)檢測報告將會(huì )十分詳細的說(shuō)明技術(shù)檢測過(guò)程中的得到的數據和信息，分析系統目前的安全狀況，并給出安全建議，并且將會(huì )詳細的紀錄整個(gè)技術(shù)檢測的全部操作。

? GB/T 30276-2020 信息安全技術(shù) 網(wǎng)絡(luò )安全漏洞管理規范 ? GB/T 30279-2020 信息安全技術(shù) 網(wǎng)絡(luò )安全漏洞分類(lèi)分級指南 ? GB/T 30276-2020 信息安全技術(shù) 網(wǎng)絡(luò )安全漏洞標識與描述規范 ? GB/T 33561-2017 信息安全技術(shù) 安全漏洞分類(lèi) ? GB/T 18336-2008 信息技術(shù)安全性評估準則 ? GB/T 20274-2008 信息系統安全保障評估框架 ? OWASP Testing Guide v4 ? Web Security Threat Classification ? Information Systems Security Assessment Framework ? Open-Source Security Testing Methodology Manual v3