隨著IT安全產(chǎn)業(yè)的迅速發(fā)展，大量新技術(shù)、新領(lǐng)域的不斷涌現(xiàn)使得我們能夠更好地理解和正確地維護網(wǎng)絡(luò)安全。然而由于許多商業(yè)性機構(gòu)經(jīng)常會錯誤理解安全評估的不同類型，導(dǎo)致人們常會把漏洞掃描和滲透測試搞混。

　　滲透測試和漏洞掃描有什么區(qū)別嗎?我是做滲透測試好，還是做漏洞掃描好呢?今天，小編從以下三點和大家分享下二者之間的區(qū)別及二者到底應(yīng)該如何選擇。

　　1、概念不同

　　什么是滲透測試?

　　滲透測試服務(wù)(黑盒測試)是指在客戶授權(quán)許可的情況下，利用各種主流的攻擊技術(shù)對網(wǎng)絡(luò)做模擬攻擊測試，以發(fā)現(xiàn)系統(tǒng)中的安全漏洞和風(fēng)險點，提前發(fā)現(xiàn)系統(tǒng)潛在的各種高危漏洞和安全威脅。

　　什么是漏洞掃描?

　　漏洞掃描是指基于漏洞數(shù)據(jù)庫，通過掃描等手段對指定的遠程或者本地計算機系統(tǒng)的安全脆弱性進行檢測，發(fā)現(xiàn)可利用漏洞的一種安全檢測(滲透攻擊)行為。

　　一般滲透測試是由人工完成的，而漏洞掃描因工作量大多由工具完成，現(xiàn)在市面上的漏洞掃描工具也是琳瑯滿目。

　　從定義中我們可以看出：

　　滲透測試除了定位漏洞外，還需要進一步嘗試對漏洞進行攻擊利用、提權(quán)以及維持對目標(biāo)系統(tǒng)的控制權(quán);而漏洞掃描只是清楚的展示出系統(tǒng)中存在的所有缺陷，但不會衡量這些缺陷對系統(tǒng)造成的影響。

　　漏洞掃描和滲透測試的另一不同之處在于：滲透測試的侵略性要強很多，它會試圖使用各種技術(shù)手段攻擊真實生產(chǎn)環(huán)境;相反，漏洞掃描只會以一種非侵略性的方式，仔細定位和量化系統(tǒng)的所有漏洞。

　　2、操作方式不同

　　就難度來說，滲透測試操作難度較大，范圍也是有針對性的，且是需要人為參與。聽說過漏洞自動化掃描，但你絕對聽不到世界上有自動化滲透測試。滲透測試過程中，信息安全滲透人員使用大量的工具，同時需要非常豐富的專家進行測試。

　　滲透測試員不僅要針對應(yīng)用層或網(wǎng)絡(luò)層等進行測試，還需要出具完整的滲透測試報告。一般的報告主要包括以下內(nèi)容：滲透測試過程中發(fā)現(xiàn)可被利用的漏洞、出現(xiàn)的原因、解決方法等詳細文字化的描述。

　　當(dāng)然在滲透的過程中，特別是對低風(fēng)險資產(chǎn)上需要花費大量的時間，需要高技術(shù)的滲透測試人才，所以這也是為什么滲透測試那么貴的原因。

　　而漏洞掃描是在網(wǎng)絡(luò)設(shè)備中發(fā)現(xiàn)已經(jīng)存在的漏洞，比如防火墻、路由器、交換機服務(wù)器等各種應(yīng)用，該過程是自動化的，主要針對的是網(wǎng)絡(luò)或應(yīng)用層上潛在的及已知漏洞。漏洞的掃描過程中是不涉及到漏洞的利用的。漏洞掃描在全公司范圍進行，需要自動化工具處理大量的資產(chǎn)。其范圍比滲透測試要大。漏洞掃描產(chǎn)品通常由系統(tǒng)管理員或具備良好網(wǎng)絡(luò)知識的安全人員操作，想要高效使用這些產(chǎn)品，需要擁有特定的產(chǎn)品知識。

　　一般大型公司會采購自動化的漏洞掃描產(chǎn)品，每天或者每周都能定期的進行漏洞掃描，類似于在電腦上安裝殺毒軟件，每天只需要掃一掃就可以，定期進行殺毒。

　　而滲透測試在新產(chǎn)品上線或發(fā)現(xiàn)公司有非常重要的數(shù)據(jù)在服務(wù)器上害怕泄露、被竊取，讓專業(yè)的安全廠商定期進行人工操作。

　　從以上可以看出，兩者并不是獨立存在的，也是需要結(jié)合使用，才能達到最佳的效果，確保公司的信息化安全。

　　3、價格不同

　　從以上2點的介紹，想必大家也能大概猜出哪一個價格高，哪一個價格低了。沒錯，相對漏洞掃描來說，滲透測試比一般漏洞掃描貴好幾倍。企業(yè)在選擇兩個產(chǎn)品服務(wù)時，要看好自己目前階段適合哪一個，一般來說，滲透測試發(fā)生在新品上線或系統(tǒng)有大的更新，或者一年2至4次即可，漏洞掃描每周定期自動化掃描即可。

　　漏洞掃描和滲透測試二者結(jié)合，才能得到最佳的效果，幫助確定最適合于公司、最具有實踐性的措施——無論是漏洞掃描還是滲透測試都非常重要，應(yīng)用目的不同，產(chǎn)生不同的結(jié)果。