隨著IT安全產(chǎn)業(yè)的迅速發(fā)展，大量新技術(shù)、新領(lǐng)域的不斷涌現(xiàn)使得我們能夠更好地理解和正確地維護(hù)網(wǎng)絡(luò)安全。然而由于許多商業(yè)性機(jī)構(gòu)經(jīng)常會(huì)錯(cuò)誤理解安全評(píng)估的不同類型，導(dǎo)致人們常會(huì)把漏洞掃描和滲透測(cè)試搞混。

　　滲透測(cè)試和漏洞掃描有什么區(qū)別嗎?我是做滲透測(cè)試好，還是做漏洞掃描好呢?今天，小編從以下三點(diǎn)和大家分享下二者之間的區(qū)別及二者到底應(yīng)該如何選擇。

　　1、概念不同

　　什么是滲透測(cè)試?

　　滲透測(cè)試服務(wù)(黑盒測(cè)試)是指在客戶授權(quán)許可的情況下，利用各種主流的攻擊技術(shù)對(duì)網(wǎng)絡(luò)做模擬攻擊測(cè)試，以發(fā)現(xiàn)系統(tǒng)中的安全漏洞和風(fēng)險(xiǎn)點(diǎn)，提前發(fā)現(xiàn)系統(tǒng)潛在的各種高危漏洞和安全威脅。

　　什么是漏洞掃描?

　　漏洞掃描是指基于漏洞數(shù)據(jù)庫(kù)，通過掃描等手段對(duì)指定的遠(yuǎn)程或者本地計(jì)算機(jī)系統(tǒng)的安全脆弱性進(jìn)行檢測(cè)，發(fā)現(xiàn)可利用漏洞的一種安全檢測(cè)(滲透攻擊)行為。

　　一般滲透測(cè)試是由人工完成的，而漏洞掃描因工作量大多由工具完成，現(xiàn)在市面上的漏洞掃描工具也是琳瑯滿目。

　　從定義中我們可以看出：

　　滲透測(cè)試除了定位漏洞外，還需要進(jìn)一步嘗試對(duì)漏洞進(jìn)行攻擊利用、提權(quán)以及維持對(duì)目標(biāo)系統(tǒng)的控制權(quán);而漏洞掃描只是清楚的展示出系統(tǒng)中存在的所有缺陷，但不會(huì)衡量這些缺陷對(duì)系統(tǒng)造成的影響。

　　漏洞掃描和滲透測(cè)試的另一不同之處在于：滲透測(cè)試的侵略性要強(qiáng)很多，它會(huì)試圖使用各種技術(shù)手段攻擊真實(shí)生產(chǎn)環(huán)境;相反，漏洞掃描只會(huì)以一種非侵略性的方式，仔細(xì)定位和量化系統(tǒng)的所有漏洞。

　　2、操作方式不同

　　就難度來說，滲透測(cè)試操作難度較大，范圍也是有針對(duì)性的，且是需要人為參與。聽說過漏洞自動(dòng)化掃描，但你絕對(duì)聽不到世界上有自動(dòng)化滲透測(cè)試。滲透測(cè)試過程中，信息安全滲透人員使用大量的工具，同時(shí)需要非常豐富的專家進(jìn)行測(cè)試。

　　滲透測(cè)試員不僅要針對(duì)應(yīng)用層或網(wǎng)絡(luò)層等進(jìn)行測(cè)試，還需要出具完整的滲透測(cè)試報(bào)告。一般的報(bào)告主要包括以下內(nèi)容：滲透測(cè)試過程中發(fā)現(xiàn)可被利用的漏洞、出現(xiàn)的原因、解決方法等詳細(xì)文字化的描述。

　　當(dāng)然在滲透的過程中，特別是對(duì)低風(fēng)險(xiǎn)資產(chǎn)上需要花費(fèi)大量的時(shí)間，需要高技術(shù)的滲透測(cè)試人才，所以這也是為什么滲透測(cè)試那么貴的原因。

　　而漏洞掃描是在網(wǎng)絡(luò)設(shè)備中發(fā)現(xiàn)已經(jīng)存在的漏洞，比如防火墻、路由器、交換機(jī)服務(wù)器等各種應(yīng)用，該過程是自動(dòng)化的，主要針對(duì)的是網(wǎng)絡(luò)或應(yīng)用層上潛在的及已知漏洞。漏洞的掃描過程中是不涉及到漏洞的利用的。漏洞掃描在全公司范圍進(jìn)行，需要自動(dòng)化工具處理大量的資產(chǎn)。其范圍比滲透測(cè)試要大。漏洞掃描產(chǎn)品通常由系統(tǒng)管理員或具備良好網(wǎng)絡(luò)知識(shí)的安全人員操作，想要高效使用這些產(chǎn)品，需要擁有特定的產(chǎn)品知識(shí)。

　　一般大型公司會(huì)采購(gòu)自動(dòng)化的漏洞掃描產(chǎn)品，每天或者每周都能定期的進(jìn)行漏洞掃描，類似于在電腦上安裝殺毒軟件，每天只需要掃一掃就可以，定期進(jìn)行殺毒。

　　而滲透測(cè)試在新產(chǎn)品上線或發(fā)現(xiàn)公司有非常重要的數(shù)據(jù)在服務(wù)器上害怕泄露、被竊取，讓專業(yè)的安全廠商定期進(jìn)行人工操作。

　　從以上可以看出，兩者并不是獨(dú)立存在的，也是需要結(jié)合使用，才能達(dá)到最佳的效果，確保公司的信息化安全。

　　3、價(jià)格不同

　　從以上2點(diǎn)的介紹，想必大家也能大概猜出哪一個(gè)價(jià)格高，哪一個(gè)價(jià)格低了。沒錯(cuò)，相對(duì)漏洞掃描來說，滲透測(cè)試比一般漏洞掃描貴好幾倍。企業(yè)在選擇兩個(gè)產(chǎn)品服務(wù)時(shí)，要看好自己目前階段適合哪一個(gè)，一般來說，滲透測(cè)試發(fā)生在新品上線或系統(tǒng)有大的更新，或者一年2至4次即可，漏洞掃描每周定期自動(dòng)化掃描即可。

　　漏洞掃描和滲透測(cè)試二者結(jié)合，才能得到最佳的效果，幫助確定最適合于公司、最具有實(shí)踐性的措施——無論是漏洞掃描還是滲透測(cè)試都非常重要，應(yīng)用目的不同，產(chǎn)生不同的結(jié)果。