风险评估、漏洞评估与渗透测试
作者：Tim O’Connor
发布日期：2025年7月1日 上午11:23:56
为什么这些概念容易混淆？你需要了解的关键信息！
几乎每周都有客户联系我要求进行渗透测试，但实际上他们需要的是漏洞扫描。或者，他们要求漏洞扫描，但真正需要的是风险评估。
这种混淆并非客户的过错。当我向客户索要风险评估报告时，收到的往往是漏洞扫描结果。谁在将漏洞扫描称为风险评估？多数情况下，是那些本应更专业的IT（信息技术）或IS（信息安全）供应商。
除非对方是CISM（认证信息安全经理）*，否则很难确保"风险评估"这一术语的准确性。
这三种评估类型存在部分重叠：风险评估必须包含漏洞评估或渗透测试的结果摘要；渗透测试是漏洞扫描的高度专业化子集，模拟并利用各种攻击方式对抗组织。
在信息安全领域，清晰准确的沟通至关重要。以下快速概述这些术语的基本区别。
风险评估概述
- 不使用扫描软件完成，输出结果不是漏洞列表
- 由IS专业人员执行，而非IT专业人员
- 输出结果供高层管理和IT管理使用
- 以IT为核心，但包含非IT要素（如物理安全、政策、第三方风险，甚至涉及人力资源话题，如不满员工共享知识产权或IT配置的风险）
- 围绕关键业务流程的风险展开
- 输出基于组织"风险偏好"的优先行动清单
漏洞评估
- 使用Nessus等扫描软件或OSINT（开源情报）工具
- 由IT或IS专业人员执行
- 主要供IT部门使用，汇总结果向管理层报告
- 以IT为核心，主要包括内部和外部网络的基于网络的扫描
- 围绕错误配置的设备展开（如防火墙、操作系统和物联网设备）
- 可操作项包括：修补操作系统、更新防火墙策略、网络重新配置、基于模式或行为的安全软件升级
渗透测试（Pen Testing）
- 根据测试范围使用各种高度专业化的工具或程序
- 由经过专业培训的IS专业人员执行，擅长规避安全系统、反制措施和培训不足的员工
- 结果向IT管理层报告，若行业或政府要求可能向外部机构报告。如果是"黑盒测试"，可能仅向高层管理报告
- 围绕预定范围内的可疑漏洞展开，可能包含非IT要素（如物理安全、第三方风险和人为因素漏洞）
- 可操作项针对技术控制或员工政策被成功渗透的领域。与漏洞评估类似，可能包括修补操作系统、更新防火墙策略、网络重新配置；或与风险评估类似，可能涉及政策或员工培训
风险评估与漏洞评估的共同点
- 最佳实践是与独立的第三方安全公司合作完成
- 通常在公开环境下进行，获得IT和其他组织角色或部门的充分合作
风险评估与渗透测试的共同点
- 需要经过特殊培训和经验丰富的专业人员，超越扫描工具的使用
- 几乎总是由独立的第三方公司执行
- 可能包含大量人为因素话题和范围
其他有趣事实
- 渗透测试因影视作品中的黑客活动而获得好莱坞式的关注，成为普通人最先接触的概念
- 风险评估和漏洞评估对所有规模的组织都至关重要，只需阅读新闻头条就能看到这些问题如何升级
- 只需基本IT知识和经验，任何人都可以使用现成的廉价工具进行漏洞评估。但正确解释结果并确保没有漏洞需要IS经验
- 独立进行或至少独立管理的漏洞评估更可能发现IT部门未知的漏洞
风险评估：理解最被误解的评估
为什么风险重要？
风险管理是确保威胁利用漏洞的影响在可接受成本内处于可接受限度并与组织目标保持一致的过程。这是IS的基本功能，为几乎所有IS活动提供理论依据和理由。
成功风险评估最关键的前提是理解组织。如果组织有ISO级别的BCP（业务连续性计划），应该已经进行了风险评估。但超过50%的情况下，当组织声称拥有BCP时，实际上并没有。他们可能拥有灾难恢复计划、事件恢复计划，或从不可靠来源下载的廉价模板。
正式的风险评估（通常基于NIST 800-53/ISO 27001）针对大型组织，包括ALE（年化损失期望）、基于资产价值的风险等级和因素。
Cadre信息安全公司提供基于NIST的非正式风险评估。我们使用通俗语言，不包含ALE，但以较低成本和时间为中小型企业提供正式风险评估的主要可操作好处。
风险评估的输出：停止猜测需要哪些安全产品以及花费多少
组织使用的每个IS控制措施，从防火墙到反恶意软件软件，其存在、范围和成本都应由风险证明合理性。“适合使用"和"适合目的"的控制评估确保您可以将控制措施与它们减轻的风险联系起来，消除对适当性、理由或适当成本和责任的猜测。
良好的风险评估为增强组织安全性提供明确指导。除了正式输出外，风险评估还为以下方面提供整体理由：
- IS政策
- IS控制措施
- 安全意识计划设计
- 安全与业务流程的一致性
- 基于数据发现的网络安全投资理由
- 为董事会、C级高管、人力资源、IT和法律顾问提供可操作的见解
- 组织范围内的认同和安全孤岛的减少
安全是每个人的职责，不仅仅是IT；尽职调查和尽职关怀的证据
董事会、高级执行官和监督框架通常需要尽职调查和/或尽职关怀的证据，以满足政策或监管要求，避免可能的诉讼问题，或满足组织法规中规定的责任。
你不知道的事情可能会伤害你！
差距分析，比较风险与控制措施和其他缓解措施，为您提供所需的地图，不仅找到物理控制措施的差距，还包括政策和培训的差距。
高管简报、报告模板和核心业务实践的清晰管理。高管需要了解他们负责的风险和缓解措施。风险到缓解的简报是记录和传达这些信息最有效的方式之一。
网络安全保险、第三方和安全自我报告。如果没有风险评估，您可能无法满足保险公司、供应商或合作伙伴的安全问卷要求。
危险信号
您是否被销售了不是风险评估的"风险评估”？以下是一些可能表明您没有真正风险评估的危险信号：
- 没有风险列表且无法分配应对措施（缓解、避免、转移、接受）。完整的风险评估必须允许您决定对每个风险采取什么行动。这应使用通俗语言，以便组织管理层对每个风险做出清晰准确的决策。这些决策由所有领导层而不仅仅是IT做出。
- 您有一个缺少补丁的操作系统列表。风险评估可能声明您有过时和未打补丁的操作系统，但不会提供详细细节，除非是附录等附加文档。请记住，风险评估需要能够被非技术决策者阅读。
- 没有IT设备以外的风险。风险评估的范围涵盖整个组织。它将包括政策、人为因素问题以及与其他组织的关系，如第三方互动。
- 评估仅使用软件工具完成。风险评估必须包括对政策、工作流程、培训、风险偏好、业务流程和其他因素的理解，这需要采访组织中的关键利益相关者。
总结
风险评估、漏洞评估和渗透测试都是任何良好业务实践的关键要素，并且它们日益重要。理解这些术语以及每种评估的质量、好处和影响对于良好的政策和组织安全管理至关重要。
希望本文具有启发性并能证明有用！
要了解有关非正式风险评估的更多信息，这里有一份简明指南。点击了解更多关于Cadre评估的信息。
请随时通过Tim.OConnor@Cadre.net与我联系，阅读我过去和未来的文章，或在LinkedIn上关注我。
关键术语
- 业务连续性计划：帮助组织在重大事件（如网络攻击）中生存下来而不倒闭或对业务实践或声誉造成不应有损害的ISO框架计划。这将包括DRP（灾难恢复计划）、BIA（业务影响分析）和风险评估，但它不是DRP、BIA或风险评估。
- 业务影响分析：衡量随时间推移业务流程损失的影响。
- 风险：威胁利用漏洞可能影响业务功能的可能性。
- 风险评估：发现关键业务流程的风险并衡量影响和可能性。
- 安全意识：理解人们故意或意外窃取、损坏或滥用数据的可能性。
- 漏洞：弱点或缺陷，必须可被利用。
*不要与CISSP（认证信息系统安全专业人员）混淆。
AI未生成本文。
事实上，本文是在一台古老的1982年Apple LISA计算机上起草的，该计算机引入了个人计算机历史上最深刻的进步。
本材料的任何部分不得以任何方式用于或复制用于训练人工智能。