滲透測試也許是你的網(wǎng)絡防御工具箱當中的重要武器之一。應該視之為各種安全審查的一部分，但要確保審查人員勝任這項工作。
也許你可能還是有疑問：我定期更新安全策略和程序，時時給系統(tǒng)打補丁，并采用了安全軟件，以確保所有補丁都已打上，還需要滲透測試嗎？需要！這些措施就好像是金庫建設時的金庫建設規(guī)范要求，你按照要求來建設并不表示可以高枕無憂。而請專業(yè)滲透測試人員（一般來自外部的專業(yè)安全服務公司）進行審查或滲透測試就好像是金庫建設后的安全檢測、評估和模擬入侵演習，來獨立地檢查你的網(wǎng)絡安全策略和安全狀態(tài)是否達到了期望。滲透測試能夠通過識別安全問題來幫助了解當前的安全狀況。到位的滲透測試可以證明你的防御確實有效，或者查出問題，幫助你阻擋可能潛在的攻擊。提前發(fā)現(xiàn)網(wǎng)絡中的漏洞，并進行必要的修補，就像是未雨綢繆；而被其他人發(fā)現(xiàn)漏洞并利用漏洞攻擊系統(tǒng)，發(fā)生安全事故后的補救，就像是亡羊補牢。很明顯未雨綢繆勝過亡羊補牢。
滲透測試能夠通過識別安全問題來幫助一個單位理解當前的安全狀況。這使促使許多單位開發(fā)操作規(guī)劃來減少攻擊或誤用的威脅。
撰寫良好的滲透測試結果可以幫助管理人員建立可靠的商業(yè)案例，以便證明所增加的安全性預算或者將安全性問題傳達到高級管理層。

滲透測試，是為了證明網(wǎng)絡防御按照預期計劃正常運行而提供的一種機制。不妨假設，你的公司定期更新安全策略和程序，時時給系統(tǒng)打補丁，并采用了漏洞掃描器等工具，以確保所有補丁都已打上。如果你早已做到了這些，為什么還要請外方進行審查或滲透測試呢？因為，滲透測試能夠獨立地檢查你的網(wǎng)絡策略，換句話說，就是給你的系統(tǒng)安了一雙眼睛。而且，進行這類測試的，都是尋找網(wǎng)絡系統(tǒng)安全漏洞的專業(yè)人士。
滲透測試 (penetration test)并沒有一個標準的定義，國外一些安全組織達成共識的通用說法是：滲透測試是通過模擬惡意**的攻擊方法，來評估計算機網(wǎng)絡系統(tǒng)安全的一種評估方法。這個過程包括對系統(tǒng)的任何弱點、技術缺陷或漏洞的主動分析，這個分析是從一個攻擊者可能存在的位置來進行的，并且從這個位置有條件主動利用安全漏洞。
換句話來說，滲透測試是指滲透人員在不同的位置（比如從內網(wǎng)、從外網(wǎng)等位置）利用各種手段對某個特定網(wǎng)絡進行測試，以期發(fā)現(xiàn)和挖掘系統(tǒng)中存在的漏洞，然后輸出滲透測試報告，并提交給網(wǎng)絡所有者。網(wǎng)絡所有者根據(jù)滲透人員提供的滲透測試報告，可以清晰知曉系統(tǒng)中存在的安全隱患和問題。
我們認為滲透測試還具有的兩個顯著特點是：滲透測試是一個漸進的并且逐步深入的過程。滲透測試是選擇不影響業(yè)務系統(tǒng)正常運行的攻擊方法進行的測試。
作為網(wǎng)絡安全防范的一種新技術，對于網(wǎng)絡安全組織具有實際應用價值。但要找到一家合適的公司實施滲透測試并不容易。

以外部需要訪問的Web或應用服務器為例，你應該考慮與滲透測試人員共享這些應用的源代碼，如果測試涉及這些腳本或程序的話。沒有源代碼，很難測試ASP或CGI腳本，事先認定攻擊者根本不會看到源代碼是不明智的。Web服務器軟件里面的漏洞往往會把腳本和應用暴露在遠程攻擊者面前。如果能夠獲得應用的源代碼，則可以提高測試該應用的效率。畢竟，你出錢是為了讓滲透測試人員查找漏洞，而不是浪費他們的時間。

如今，大多數(shù)攻擊進行的是*基本的漏洞掃描，如果攻擊得逞，目標就岌岌可危。如果攻擊者企圖對你站點進行漏洞掃描，他就會獲得大量的防火墻日志消息，而監(jiān)控網(wǎng)絡的任何入侵檢測系統(tǒng)（IDS）也會開始發(fā)送有關當前攻擊的警報。如果你還沒有試過，不妨利用漏洞掃描器結合IDS對網(wǎng)絡來一番試驗。別忘了首先獲得對方的許可，因為，運行漏洞掃描器會使IDS引發(fā)警報。


http://cabgv.cn