网络安全等级保护测评中渗透测试的应用

◆李劲雄

网络安全等级保护测评中渗透测试的应用

◆李劲雄

（成都安美勤信息技术股份有限公司 四川 610000）

渗透测试作为网络安全等级保护测评的一种补充和验证，能够对等保测评的风险判定和结论形成提供有力的支撑。本文从渗透测试的方法、使用的工具、实施流程和结果等方面，阐述了渗透测试在网络安全等级保护测评中的应用以及对于等级保护测评结论的影响，为等级保护中的渗透测试实施和结果的应用提供了参考。

等级保护；渗透测试；灰盒测试

自1994年国务院颁布《中华人民共和国计算机信息系统安全保护条例》规定计算机信息系统实行安全等级保护以来，等级保护工作经过了近25年的发展历程，中途经历了工作试点、管理办法发布、1.0标准发布、标准修订、2.0标准发布等历程，成了我国网络安全保护的重要举措之一[1]。而与之伴随的则是网络安全与信息技术的飞速发展带来的层出不穷的新漏洞与攻击手段。为应对这些新的挑战与要求，在等级保护测评过程中合理应用渗透测试手段，成了及时发现系统存在的安全风险、验证网络安全等级保护基本要求的防护能力、落实网络安全法对于网络的安全防护要求的一个重要举措。

1 渗透测试概述及流程

1.1 渗透测试概述

渗透测试主要是由测试人员通过模拟黑客的真实攻击手段，结合掌握的漏洞信息、攻击方法、攻击策略等，对目标系统采用工具和人工的方式进行脆弱性分析和利用的过程[2]。……