范围和目标设定任何专业渗透测试人员都必须记录商定的范围和目标。下方是你需要问的、关于范围的 问题: 范围是否只包括特定的电脑资产,比如web服务器、SQL 服务器、某个主机操作系统级 别的所有计算机?包括网络设备吗? 测试人员是否应尽力避免造成服务中断?模拟真实攻击者能导致的问题(包括服务中断)是否是测试的关键部分? 渗透测试是黑盒测试(指渗透测试人员对涉及的系统或应用的内部细节几乎没有了解)还是白盒测试(测试人员了解目标系统的内部信息,可能涉及相关的源代码)? 计算机安全防护人员会被告知进行渗透测试吗?或者测试的一部分就是看看防护人员能否注意到安全测试? 专业攻击者(即红队)是否应该在不被防护人员(蓝队)发现的前提下攻入目标?或者他们应该使用真实入侵者可能采用的正常方法,来看看是否触发现有的检测和预防措 对特定电脑的访问或者数据泄露是否是目标的一部分?或者仅仅是为了获取足够的访问权限? 在测试结束时,应该提交什么作为测试文件的一部分?是否应该包含所有成功和失败的黑客方法,或者仅仅记录最重要的黑客攻击?需要详细到什么程度,是每次键盘和鼠标 操作,或者仅仅是概要说明?黑客行为是否需要录屏或截屏? 备注:在进行任何渗透测试之前,对范围和目标进行详细描述并达成一致,这非常重 选择恰当的渗透测试工具