39、下一次渗透测试的规划

下一次渗透测试的规划

1. 引言

在渗透测试项目的这个阶段，渗透测试工程师除了回答项目经理的一些反馈问题外，在该项目上已没有太多其他事情可做。为了提高未来项目的成功率，项目经理需要执行一些额外的任务。每个项目都提供了积累以往渗透测试经验的机会，而风险管理登记册、知识数据库和行动后审查是三个重要的工具和方法。

2. 风险管理登记册

2.1 风险管理登记册的作用

维护风险管理登记册为项目经理提供了一种识别、量化和管理项目内风险的方法。该登记册针对的是项目本身的风险，而非客户网络中可能存在的风险。虽然不同行业项目中存在的一些风险可能会出现在我们的项目中，但专业渗透测试也有其独特的风险，所有类型的风险都应添加到登记册中。

2.2 创建风险管理登记册

风险管理登记册不一定复杂，它可以包含如风险和应对措施等精简信息，长度可能只有几行，对于许多渗透测试项目来说，这可能就足够了。但它也可以非常庞大，一些更复杂的风险登记册会为每个风险设置唯一代码、列出每个风险的细微差别和变化、一份已排序的潜在应对措施列表、涉及该风险事件的人员名单、风险的可接受性、预警信号、报告触发条件、责任分配以及每个风险的“等级”。

创建风险登记册时，其规模应受公司要求和可用人员的影响。对于小型渗透测试团队而言，有效的风险登记册不需要很复杂。以下是一个简单风险登记册条目的示例：

<

识别的风险	可能的应对措施
网络连接中断