18、渗透测试指标：方法与实践

渗透测试指标：方法与实践

在信息系统安全领域，渗透测试不仅要识别网络中的漏洞和攻击手段，更要评估这些漏洞对客户网络环境的影响。同时，项目本身的成功完成也存在固有风险，需要项目管理者进行评估和规划。然而，与保险行业相比，信息系统安全领域的风险分析仍处于起步阶段。本文将介绍评估风险的方法和工具，包括定量、定性和混合分析方法，以及当前渗透测试和项目管理中采用的一些风险分析方法。

1. 拓展技能练习

1.1 熟悉ISSAF

• 获取最新版本的ISSAF ：列出评估阶段的步骤。
• 列出预期结果 ：为评估阶段的每个步骤列出预期结果。
• 定义误报和漏报 ：在“处理误检率”部分，定义“误报”和“漏报”，并分别提供示例。

1.2 熟悉OSSTMM

• 获取最新版本的ISSAF ：列出评估阶段的步骤，确定“四点”流程及其定义。
• 列出安全测试类型 ：列出渗透测试中常见的六种“安全测试类型”，并对每种类型进行定义。
• 识别错误类型 ：确定渗透测试中可能出现的12种“错误类型”。
• 识别损失控制 ：确定渗透测试中可以测试的10种“损失控制”。

2. 风险评估方法

2.1 定量分析