对于企业而言，渗透测试为什么是必要的？-控件新闻-慧都网

对于企业而言，渗透测试为什么是必要的？

原创|行业资讯|编辑：蒋永|2017-03-22 13:29:58.000|阅读 1395 次

概述：企业在安全上投入了巨大的精力和资金，但有往往会产生这样的感受：当基本的软硬件设施配置好之后，安全防卫水平就到了一个相对的瓶颈，再加大投入并不能明显提高安全水平。实际上，这种“安全玻璃天花板”在很多行业和企业中都存在，伴随着安全行业的发展和管理人员安全意识的提高，以渗透测试为代表的“安全服务”正在得到更多的认可。

# 慧都年终大促·界面/图表报表/文档/IDE等千款热门软控件火热促销中 >>

企业在安全上投入了巨大的精力和资金，但有往往会产生这样的感受：当基本的软硬件设施配置好之后，安全防卫水平就到了一个相对的瓶颈，再加大投入并不能明显提高安全水平。实际上，这种“安全玻璃天花板”在很多行业和企业中都存在，伴随着安全行业的发展和管理人员安全意识的提高，以渗透测试为代表的“安全服务”正在得到更多的认可。

进行渗透测试的目的

1. 信息安全等级保护的要求

2015年12月28日，银监会等部门发布的《网络借贷信息中介机构业务活动管理暂行办法(征求意见稿)》中明确要求：“网络借贷信息中介机构应按照国家网络安全相关规定和国家信息安全等级保护制度的要求，开展信息系统定级备案和等级测试。”信息安全等级保护是由等级测评机构依据国家信息安全等级保护制度规定，按照管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。值得关注的是，在信息安全风险评估中，渗透测试是一种常用且非常重要的手段。

2. 渗透测试助力PCI DSS合规建设

在PCI DSS（Payment Card Industry Security Standards Council支付卡行业安全标准委员会）第 11.3中有这样的要求：至少每年或者在基础架构或应用程序有任何重大升级或修改后（例如操作系统升级、环境中添加子网络或环境中添加网络服务器）都需要执行内部和外部基于应用层和网络层的渗透测试。

3. ISO27001认证的基线要求

ISO27001 附录“A12信息系统开发、获取和维护”的要求，建立了软件安全开发周期，并且特别提出应在上线前参照例如OWASP标准进行额外的渗透测试。

4. 银监会多项监管指引中要求

依据银监会颁发的多项监管指引中明确要求，对银行的安全策略、内控制度、风险管理、系统安全等方面需要进行的渗透测试和管控能力的考察与评价。

网站为什么要做渗透测试？除了满足政策的合规性要求、提高客户的操作安全性或满足业务合作伙伴的要求。最终的目标应该是最大限度地减小业务风险。企业需要尽可能多地进行渗透测试，以保持安全风险在可控制的范围内。

网站开发过程中，会发生很多难以控制、难以发现的隐形安全问题，当这些大量的瑕疵暴露于外部网络环境中的时候，就产生了信息安全威胁。这个问题，企业可以通过定期的渗透测试进行有效防范，早发现、早解决。经过专业渗透人员测试加固后的系统会变得更加稳定、安全，测试后的报告可以帮助管理人员进行更好的项目决策，同时证明增加安全预算的必要性，并将安全问题传达到高级管理层。

渗透测试是一种全新的安全防护思路。知道创宇云安全的渗透测试可以帮助企业的安全防护从被动转换成了主动，已经有越来越多重点行业的企业通过独立的第三方安全机构来进行“渗透测试”，以求更好的安全防护效果。目前，知道创宇云安全渗透测试已经服务了互联网金融、电商、教育等近200家企业。

如何进行渗透测试来评估安全

渗透测试是由专业安全人员完全模拟入侵者所用的常见手段对测试目标发起模拟入侵的过程。整个过程的目的在于通过利用各种已知漏洞识别手段充分挖掘网络层、系统层、应用层乃至业务逻辑层中可能存在且被利用的潜在威胁点。在不影响业务系统正常运行的情况下，发现系统最脆弱的环节，让管理人员最直观的看到系统面临的安全威胁。

渗透测试如何操作？

许多企业管理人员有个误区，认为渗透测试只是通过自动化的工具进行检测、处理生成的报告，所以费用成本是可以很低去控制的，其实不然。成功的渗透测试报告中安全工具的占比仅仅是一部分，成功的部分更多的是依靠专业的人工、双向的思维及丰富的经验。知道创宇云安全提供的渗透测试服务，包括其中所有必需项：专业的安全渗透团队人员，都是有着十年以上的安全经验，曾经为微软等大型企业提供漏洞服务。

渗透测试与安全检测的区别

渗透测试不同于传统的安全扫描，在整体风险评估框架中，脆弱性与安全扫描的关系可描述为“承上”，即如上面所讲，是对扫描结果的一种验证和补充。另外，渗透测试相对传统安全扫描的最大差异在于渗透测试需要大量的人工介入的工作。这些工作主要由专业安全人员发起，一方面，他们利用自己的专业知识，对扫描结果进行深入的分析和判断。另一方面则是根据他们的经验，对扫描器无法发现的、隐藏较深的安全问题进行手工的检查和测试，从而做出更为精确的验证（或模拟入侵）行为。