滲透測試

滲透性測試（Penetration Test）是指滲透測試者在用戶授權的前提下，盡可能完整地模擬黑客使用的漏洞發現技術和攻擊手段，對目標網絡/系統/主機/應用的安全性作深入的探測，發現系統存在的漏洞和安全隱患，并協助解決存在的漏洞和安全隱患，挺高系統的安全防范能力。

? 制定方案：滲透測試方案是對技術檢測工作的說明，即向用戶展示技術檢測范圍、技術檢測可能會采取的測試手段、技術檢測風險以及規避措施、技術檢測工具等。 ? 客戶授權：客戶正式書面授權委托，并同意實施方案是進行技術檢測的必要條件，是技術檢測人員進行合法技術檢測的基礎，是合同雙方遵從法規并受法律保護的前提?？蛻粽胶炇鸺夹g檢測授權書后，技術檢測工作方可正式開始。 ? 信息收集操作：收集滲透性測試所需信息（包括設備存活情況、網絡拓撲情況以及掃描發現漏洞情況等），準備相關測試工具。在測試過程中，根據滲透深度情況，不斷收集相關環境信息及漏洞情況，并進行綜合分析。 ? 滲透測試：根據信息搜集與分析的結果，初步擬定滲透測試方法、測試項以及攻擊路徑，使用模擬黑客攻擊的手段，對被評估系統進行滲透。 ? 生成報告：技術檢測報告是對整個檢測工作的總結，技術檢測報告將會十分詳細的說明技術檢測過程中的得到的數據和信息，分析系統目前的安全狀況，并給出安全建議，并且將會詳細的紀錄整個技術檢測的全部操作。

? GB/T 30276-2020 信息安全技術 網絡安全漏洞管理規范 ? GB/T 30279-2020 信息安全技術 網絡安全漏洞分類分級指南 ? GB/T 30276-2020 信息安全技術 網絡安全漏洞標識與描述規范 ? GB/T 33561-2017 信息安全技術 安全漏洞分類 ? GB/T 18336-2008 信息技術安全性評估準則 ? GB/T 20274-2008 信息系統安全保障評估框架 ? OWASP Testing Guide v4 ? Web Security Threat Classification ? Information Systems Security Assessment Framework ? Open-Source Security Testing Methodology Manual v3