渗透测试在网络安全等保测评中的运用

严浩 石西华

（国家计算机网络与信息安全管理中心青海分中心 青海省西宁市 810000）

2017年《中华人民共和国网络安全法》正式开始实行，标志着网络安全等级保护2.0 的正式启用。等级保护2.0 进一步扩展了等级保护对象，优化了等级保护措施，确保等级保护标准、相关防护机制与管理手段的顺利实施。

1 渗透测试

1.1 渗透测试原理

渗透测试是为了验证网络防御质量，按照相关设计规划而提出的一种方法，其是一种合法的系统攻击行为，通过模拟网络攻击行为来评估网络系统的安全性。渗透测试的基本目的是为了识别出网络系统的缺陷和漏洞，渗透原理是在识别测评目标系统后，结合可用的信息并采取各种方式来实现验证要求。渗透测试的目标系统可以是提供信息的系统，也可以是只具备基本信息的系统。渗透测试帮助信息系统评定系统是否容易受到攻击、网络安全防护措施是否可靠、存在何种安全问题，进而使网络系统的负责人对网络系统进行修复，提升网络安全防护质量。

1.2 渗透测试步骤

渗透测试是一个系统化的过程，需要逐步完成对网络安全等级保护侧测试。第一步是进行规划和准备，根据信息系统的要求，测试人员要明确渗透测试的目标，是全方位测评还是具有针对性检测。第二步要收集相关信息，测试人员往往只会被告知测试的IP 地址，一些有用的信息还需向客户或系统负责人询问。第三步进行初步操作，连接网络、主机、端口等。……