专业服务
渗透测试有时是作为外部审查的一部分而进行的。这种测试需要探查系统，以发现操作系统和任何网络服务，并检查这些网络服务有无漏洞。你可以用漏洞扫描器完成这些任务，但往往专业人士用的是不同的工具，而且他们比较熟悉这类替代性工具。
渗透测试的作用一方面在于，解释所用工具在探查过程中所得到的结果。只要手头有漏洞扫描器，谁都可以利用这种工具探查防火墙或者是网络的某些部分。但很少有人能全面地了解漏洞扫描器得到的结果，更别提另外进行测试，并证实漏洞扫描器所得报告的准确性了。
打一个比方来解释渗透测试的必要性。假设你要修建一座金库，并且你按照建设规范将金库建好了。此时是否就可以将金库立即投入使用呢？肯定不是！因为还不清楚整个金库系统的安全性如何，是否能够确保存放在金库的贵重东西万无一失。那么此时该如何做？可以请一些行业中安全方面的专家对这个金库进行全面检测和评估，比如检查金库门是否容易被破坏，检查金库的报警系统是否在异常出现的时候及时报警，检查所有的门、窗、通道等重点易突破的部位是否牢不可破，检查金库的管理安全制度、视频安防监控系统、出入口控制等等。甚至会请专人模拟入侵金库，验证金库的实际安全性，期望发现存在的问题。 这个过程就好比是对金库的渗透测试。这里金库就像是我们的信息系统，各种测试、检查、模拟入侵就是渗透测试。
也许你可能还是有疑问：我定期更新安全策略和程序，时时给系统打补丁，并采用了安全软件，以确保所有补丁都已打上，还需要渗透测试吗？需要！这些措施就好像是金库建设时的金库建设规范要求，你按照要求来建设并不表示可以高枕无忧。而请专业渗透测试人员（一般来自外部的专业安全服务公司）进行审查或渗透测试就好像是金库建设后的安全检测、评估和模拟入侵演习，来独立地检查你的网络安全策略和安全状态是否达到了期望。渗透测试能够通过识别安全问题来帮助了解当前的安全状况。到位的渗透测试可以证明你的防御确实有效，或者查出问题，帮助你阻挡可能潜在的攻击。提前发现网络中的漏洞，并进行必要的修补，就像是未雨绸缪；而被其他人发现漏洞并利用漏洞攻击系统，发生安全事故后的补救，就像是亡羊补牢。很明显未雨绸缪胜过亡羊补牢。
渗透测试能够通过识别安全问题来帮助一个单位理解当前的安全状况。这使促使许多单位开发操作规划来减少攻击或误用的威胁。
撰写良好的渗透测试结果可以帮助管理人员建立可靠的商业案例，以便证明所增加的安全性预算或者将安全性问题传达到高级管理层。
有关渗透测试的合同或工作说明应该包括你从所得报告中想要获得的各个方面。如果你请人进行有限的测试，得到的只是计算机生成的报告。而渗透测试的真正价值在于由报告所出的分析。进行测试的一方会详细介绍发现结果，并说明其重要性。在有的地方，测试人员还会提议采取何种补救方法，譬如更新服务器、禁用网络服务、改变防火墙规则等等。
渗透测试也许是你的网络防御工具箱当中的重要武器之一。应该视之为各种安全审查的一部分，但要确保审查人员胜任这项工作。
-/gbadeeb/-
http://www.qdshtddzkj.com
