| 核心 | 授权 + 约定范围 + 可控操作 + 可复现结论 |
|---|---|
| 产出 | 风险发现、验证过程与修复建议 |
| 边界 | 不越范围、不破坏、不扩散 |
评估工作流
评估工作流
授权确认 → 范围梳理 → 计划评审 → 测试执行
→ 问题确认与分级 → 报告 → 修复复测把渗透测试当作“受控的安全体检”，结论用于修复，而不是用于展示攻击能力。
渗透测试的定义与边界
渗透测试是在授权范围内模拟攻击者视角验证安全性的评估活动；一切动作以书面授权为前提，以发现问题并推动修复为目的。
易错点
- 先开工具后补授权，流程完全颠倒
- 把“客户口头同意”当授权，事后责任难界定
数据来源与参考
- GB/T 38638 信息安全技术 渗透测试相关规范
- PTES 渗透测试执行标准