微软365认证通过年度渗透测试验证应用程序合规性
原文英文，约600词，阅读约需2分钟。
📝
内容提要
微软365认证通过年度渗透测试验证应用程序的合规性，帮助ISV验证应用程序的安全性。渗透测试是发现安全漏洞的关键组成部分，可以帮助优先处理预防潜在威胁所需的补救措施。
🔎
延伸解读
渗透测试与漏洞扫描的区别
文章指出，渗透测试不同于漏洞扫描。漏洞扫描更自动化且不够全面，而渗透测试是手动过程，辅以自动化工具，模拟真实黑客行为，能发现扫描器无法检测的复杂或隐藏漏洞。审计员会提供详细报告和证据，帮助ISV理解每个漏洞的影响和概率，从而根据自身框架和生态系统优先处理风险。
微软365认证的渗透测试要求
微软365认证将渗透测试作为认证过程的基础部分。审计员利用测试结果设定完成认证所需的证据要求。已认证的应用和加载项需每年进行渗透测试以保持认证有效。对于IaaS或ISV托管环境，要求进行内部和外部基础设施及Web应用渗透测试；对于PaaS/无服务器，则对Web应用及底层支持基础设施进行测试。
免费年度渗透测试的价值
微软为ISV提供免费的年度渗透测试，作为微软365认证的一部分。这使ISV无需额外成本即可按照微软的严格标准验证其应用安全性，证明其应用具备保护客户数据所需的框架。这有助于ISV提升安全合规性，同时节省安全测试开支。
❓
Q&A
什么是渗透测试，它的目的是什么？
渗透测试是通过模拟网络攻击来评估应用程序的安全性，目的是发现安全漏洞并提供补救建议。
微软365认证为什么需要渗透测试？
微软365认证要求渗透测试作为认证过程的基础部分，以确保应用程序的安全性和合规性。
渗透测试与漏洞扫描有什么区别？
渗透测试是一种手动过程，能够发现复杂或隐藏的漏洞，而漏洞扫描是更为自动化且不够全面的过程。
微软如何支持ISV进行渗透测试？
微软提供免费的年度渗透测试，帮助ISV验证其应用程序的安全性，确保符合微软的严格标准。
渗透测试的主要步骤是什么？
渗透测试主要包括模拟网络攻击、评估应用程序的代码和配置、识别漏洞，并提供补救建议。
ISV如何保持其应用程序的认证有效？
ISV需要每年进行渗透测试，以保持其认证的有效性。
🏷️
