7、渗透测试目标范围界定全解析

渗透测试目标范围界定全解析

1. 收集客户需求

收集客户需求的基本目的是建立一个真实可靠的渠道，让渗透测试人员能够获取测试过程中可能需要的任何信息。一旦确定了测试需求，客户应进行验证，以去除任何误导性信息，确保制定的测试计划一致且完整。

创建客户需求表单时，以下是一些常见问题和考虑因素，可作为创建常规客户需求表单的基础，此列表可根据客户目标进行增减：
- 收集基本信息，如公司名称、地址、网站、联系人详情、电子邮件地址和电话号码。
- 确定渗透测试项目的关键目标。
- 确定渗透测试类型（有无特定标准）：
- 黑盒测试
- 白盒测试
- 外部测试
- 内部测试
- 包含社会工程学测试
- 不包含社会工程学测试
- 调查员工背景信息
- 采用员工虚假身份（可能需要法律咨询）
- 包含拒绝服务测试
- 不包含拒绝服务测试
- 渗透业务合作伙伴系统
- 需测试的服务器、工作站和网络设备数量。
- 基础设施支持的操作系统技术。
- 需测试的网络设备，如防火墙、路由器、交换机、负载均衡器、入侵检测系统（IDS）、入侵防御系统（IPS）或其他设备。
- 是否有灾难恢复计划，若有，应联系何人。
- 当前是否有管理员管理网络。
- 是否有符合行业标准的特定要求，若有，请列出。

目标范围界定还需考虑以下方面：
- 项目的联系人是谁。
- 项目的时间安排。
- 项目预算。
- 如有必要，列出其他杂项要求。

交付物评估表单示例如下，此列表并非全面，应