21、渗透测试项目管理与信息收集全解析

渗透测试项目管理与信息收集全解析

1. 渗透测试管理基础

在渗透测试中，项目管理是确保测试顺利进行和取得预期效果的关键。项目管理者需要向利益相关者清晰说明渗透测试在信息安全生命周期中的位置，它并非开发的终点，而是某个时间点的快照。这有助于管理利益相关者的期望，避免因误解而产生问题。

在监控和控制阶段，范围和进度控制是专业渗透测试中面临的两大难题。在执行阶段，渗透测试人员获取目标系统或网络的立足点时，可能会有新的发现，这可能威胁到测试范围。若发现与信任系统相关，项目经理较易阻止工程师超出范围工作；但如果新发现暗示可获得更高权限（如根或管理员权限），则很难让工程师按计划进行。

允许进度延迟有一定合理性，例如可以更全面地发现系统漏洞，提升团队在客户眼中的形象和获得更多业务机会。然而，这也可能不合理，因为识别出漏洞通常就足以对系统安全架构进行重新评估，而且延迟可能影响未来项目。

2. 渗透测试的收尾阶段

收尾阶段包括两个任务：结束项目或阶段以及结束采购。但这些描述较为笼统，对新接触渗透测试项目的经理帮助有限。

正式项目审查是团队对项目进行全面分析的过程，与个人努力评估不同，它关注整个团队。通过审查，团队可以发现项目流程中的弱点、确定培训和经验不足的领域、识别未来可能有用的工具以及量化项目中出现的风险。

个人努力评估应作为团队活动进行，类似于代码审查，能发现流程缺陷和改进之处，也是知识共享的好时机。但要注意避免讨论变得消极，若出现这种情况，项目经理可能需要取消这部分评估，以免失去优秀员工。

3. 新项目的识别与规划

渗透测试结束时，团队成员通常会获得更多经验和知识