31、专业安全测试：OSSTMM 方法解析

专业安全测试：OSSTMM 方法解析

安全测试至关重要，它要求我们对达成最终结果的每一个步骤都有清晰的认知，并且理解为何要采取这些步骤。我们需要明确得出的结论，并找到足够的证据来支撑这些结论。最终结果也许令人印象深刻，也许不然，但无论如何，其生成依靠的并非艺术创作，而是一套科学的方法。

开放方法的诞生

2001 年 12 月，当我们在谷歌上搜索安全测试方法、渗透测试方法或道德黑客方法时，得到的答案几乎如出一辙：“使用我们内部专有的安全测试方法进行尽可能完善的测试”。这种所谓的内部专有方法，本质上就是“我们按自己的方式行事，但不能透露具体方式，因为这是专有技术”。这一现象揭示了安全测试领域存在的严重缺陷。

为了解决这一问题，开源安全测试方法手册（OSSTMM）的概念应运而生。数百人参与到这个项目中，他们既提出批评意见，也给予鼓励。每一条反馈都让这个方法不断完善。最终，作为唯一一种自下而上（而非自上而下基于政策）进行安全测试的公开方法，OSSTMM 受到了全球政府机构和军队的关注。同时，对于那些希望通过公开来源向客户保证其安全测试服务质量的小型安全初创企业来说，它也取得了巨大成功。如今，OSSTMM 印章已成为安全测试报告的标准，被国际上大多数政府审计机构所认可。

最初，OSSTMM 托管在 ideahamster.org 域名下，吸引了众多被称为“ideahamsters”的贡献者的稳定流量，这些人就像轮子上的仓鼠一样不断产生新想法。随着 OSSTMM 的日益流行，该组织及其名称也面临着发展的压力。2002 年 11 月，ideahamster 宣布更名为 ISECOM，即安全与开放方法研究所。到 2003 年 1 月，ISECOM 在西班牙和美国注册为非营利组