渗透测试(入侵测试)

        互联网是一个开放的网络，在带给人们便利的同时，也给不法份子攻击造成了便利。 黑客可在互联网上的任一台主机对指定服务器或网络进行攻击，所花成本几乎可忽略不计， 黑客的攻击不但可造成重要信息泄密、篡改数据，而且可进行破坏，删除重要数据、文件等，从而造成严重的后果。

一. 什麽是渗透测试(入侵测试)

        所谓入侵, 就是由黑客发起的对指定的网络或服务器进行的攻击, 目的是攻占目标主机, 导致用户重要信息泄密或破环用户的形象, 甚至破环用户数据,造成巨大的损失。
        渗透测试(入侵测试)是由资深安全工程师完全模拟黑客可能使用的攻击技术和漏洞发现技术，对目标系统的安全做深入的探测，发现系统最脆弱的环节。渗透测试能够直观的让管理人员知道自己网络所面临的问题，以及安全隐患的危险程度。

二. 为什麽要进行渗透测试(入侵测试)

1.重要信息的泄漏将造成严重的后果

        从小的方面来说，企业、公司重要信息的泄漏，将直接影响该公司的经济效益，甚至影响到公司的生存。比如在投标之前的信息泄漏，将直接造成投标的失败；公司财务信息的泄漏，将直接给竞争对手以可乘之机；公司往来商业邮件信息的泄漏将直接造成客户的丢失等。
从大的方面来说，国防、政府类信息的泄漏将直接对国家安全造成巨大的影响。

2.黑客的破坏将对重要网站带来致命的后果。

        对于商业网站来说， 黑客的破坏行为将造成主页被涂改、重要数据的丢失、运营服务的长时间停止等，每件事情都是不能被客户所接受的，这种打击将造成巨大的损失，包括广告客户的合同终止、用户对网站的强烈不满、其他商业客户的流失等，甚至造成该企业的倒闭等。
        许多企业都有重要的运营支撑系统、计费系统等，黑客对这些系统的破坏可造成生产流水线的停工，计费数据被删除等，从而造成巨额的经济损失。

3.攻击的便利性

        互联网是开放的网络，只要接入互联网，就可以攻击互联网上的任何主机，无论其在地球的任何角落。攻击可能发生在地球的任何一个角落。

4.攻击难以追查。

        黑客可通过多种手段，轻易隐藏自己的身份，即使报案也使警方难以追查。

5. 安全脆弱性。

        大部分单位在网站或信息系统建成后，所做的验收工作主要是功能验收，仅测试看是否具有了所需要的功能，并未做安全性检测，从而给黑客的攻击以可乘之机。

6. 网络攻击已从普通黑客行为演变成商业间谍行为。

        过去来说，攻击者往往是普通黑客，其攻击的目标往往具有随意性，攻击的目的在于验证自己的技术，随意性的破环等。而目前来看，竞争对手雇佣的商业间谍黑客的攻击所占的比重越来越多，目的在于窃取对手的机密商业信息、个人信息等，这类攻击往往不会破坏系统，往往是悄悄地发生，从而造成被攻击者信息泄漏后，依然一无所知。

三. 进行渗透测试/入侵测试的难度

进行渗透测试/入侵测试需要实施者具有专业的安全知识，丰富的经验，测试往往是一个小组进行，小组参测人员需包括几类人员：数据库入侵、操作系统入侵、Web入侵、防火墙入侵、内网渗透等，所以说入侵测试所耗费的人力成本往往比较高，对参测人员的要求也很高。

四. 渗透测试/入侵测试的结果

        渗透测试/入侵测试结束后，我公司会提供详尽的测试报告，通过该测试报告，用户可看到入侵结果，入侵的过程，泄漏的信息、文件，黑客可进行破环的严重程度，系统存在的弱点，包括操作系统、数据库、Web服务、防火墙、第三方服务程序等，从而使用户对自己系统安全性有一个直观的认识，并有针对性采取必要的防护措施。
报告内容包括：
* 评估地点
* 评估范围
* 执行技术组人员
* 风险报告
# 目标主机概况
# 初步风险评估
# 入侵测试结果
* 风险细节描述
* 安全性总结
# 已有的安全措施分析
# 安全建议

常见问题：

1.我找公司内部人员测试安全性可以吗？

        要让入侵测试具有可信性，这种测试通常必须由一个独立的外部公司实施。如果你使用内部人员进行入侵测试并且发现了安全漏洞，你会听到这样的批评，说这些测试人员肯定利用了他们的内部信息和基础设施知识，企图提高安全预算。另一方面，如果测试显示一切正常，你会受到这样的批评，说测试进行得不全面。

2.我的企业网服务器是在内网上的，有必要进行入侵测试吗？

        虽然企业网服务器是在内网上，但一般来说访问服务器的电脑总有能上互联网的，黑客可以采用“跳板”技术，达到入侵服务器的目的，所以说有必要进行入侵测试。

3.我们是企业网站有必要进行安全测试吗

        如果您不担心您的主页被篡改，您的电子邮件信息泄漏，那就没必要进行安全测试了。

4.什麽样的网络需要进行入侵测试？

公司、企业网站
电子商务网站
电信运营商网站
银行类网站
门户网站
政府网站
需要解决内网安全的单位
.......