聊一聊渗透以及网络漏洞的一些事

  漏洞扫描和渗透测试的作用经常被大家所混淆因为意思差不多。漏洞扫描不能代替渗透测试的重要作用，渗透测试本身也不能保证网络安全。

二者在各自的层次上都非常重要，这就是网络风险分析和PCI、HIPPA、ISO27001等标准所要求的。渗透性测试利用了目标系统架构中的漏洞，而漏洞扫描(或评价)则检查已知的漏洞，并生成风险报告。

渗入检测和漏洞扫描主要取决于以下三方面：

一、范围。

2.资产风险及重要作用。

三、费用和精力。

渗透性试验的范围是有针对性的，而且必然涉及人为因素。不存在自动渗透测试。渗入测试需要工具，有时需要许多，但也需要有经验的专家来进行测试。

好的渗透性测试人员总是编写脚本，修改攻击参数，或调整工具的设置。

可以在应用层或网络层进行渗透测试，或者是针对特定功能、部门或特定资产。另一种方法是包括整个基础设施和所有应用程序。但由于成本和时间限制，这在现实世界中并不可行。

定义范围主要基于资产的风险和重要作用。花大量精力和金钱进行低风险资产的渗透测试是不现实的。说到底，渗透测试需要高科技人才，这就是如此昂贵的原因。

另外，测试人员通常会利用正常业务流程中的新漏洞或发现未知安全缺陷，这可能要花上几天到几个星期。渗透测试通常每年只进行一次，因为其费用较高，停机几率也较高。一切报告都很简洁。

在计算机设备中，漏洞扫描是发现潜在性漏洞的过程，比如防火墙、路由器、交换机、服务器、各种应用等。这个流程是自动进行的，它集中于网络或应用层的潜在性的和已知的漏洞。缺陷扫描不包括利用缺陷。这个漏洞扫描程序只识别已知的漏洞，所以它们不会被设计用来检测零天攻击。

整个公司都在进行漏洞扫描，这要求自动化工具处理大量资产。它的范围大于贯入法。系统管理员或有很好网络知识的安全人员经常操作漏洞扫描产品。为了有效地使用这些产品，特定产品的知识是必需的。漏洞扫描可以在任意数量的资产上执行，以确定已知漏洞。扫描结果与漏洞管理生命周期相结合，可用于快速排除影响重要资源的较严重漏洞。漏洞扫描相对渗透测试来说成本较低，它是一种检测控制，而非像渗透测试那样的预防措施。

在网络风险分析过程中可以引入漏洞扫描和渗透测试，以帮助确定最适合公司、部门或实践的控制措施。要减少风险，我们需要将它们合并在一起，但要想得到最佳结果，我们需要知道它们之间的区别—因为漏洞扫描和渗透测试都很重要，它们用于不同的目的，并产生不同的结果。