运维派
·
关于网络安全渗透测试的常见误区
💡
原文中文，约2600字，阅读约需6分钟。
📝
内容提要
本文总结了企业在渗透测试中的认知误区，提出了建议，包括渗透测试不仅是主动发起的，也可以是被动发起的；渗透测试不同于漏洞扫描，需要专业渗透人员的经验和创造力；渗透测试适用于企业和个人用户；企业应该持续性进行渗透测试，以确保系统没有威胁。
🎯
关键要点
-
从攻击者的角度思考可以更快速了解企业在网络防御方面的不足。
-
渗透测试不仅是主动发起的，也可以是被动发起的。
-
渗透测试与漏洞扫描不同，后者主要识别和分类已知漏洞。
-
渗透测试不能完全自动化，人工测试是不可或缺的。
-
渗透测试的成本相对网络攻击造成的损失是微不足道的。
-
渗透测试可以由内部人员或外部人员执行，关键在于测试者的能力。
-
渗透测试应持续进行，而非仅阶段性开展。
-
渗透测试不仅用于发现技术缺陷，还包括社会工程等方法。
-
不同类型的渗透测试结果差异很大，企业应根据需求选择合适的测试。
-
良好的测试结果并不意味着没有问题，企业应持续关注网络安全。
-
渗透测试不仅适用于企业用户，也适用于个人用户。
➡️
