网络安全等级保护测评中渗透测试的实施与应用指南
引言
作为网络安全等级保护（以下简称等保）测评的一种重要补充和验证手段，渗透测试能够对等保测评的风险判定和最终结论形成提供强有力的支撑。随着《中华人民共和国网络安全法》及 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》的深入实施，单纯依靠漏洞扫描和配置核查已难以全面评估系统的安全防护能力。
本文围绕渗透测试的方法、使用的工具、实施流程和结果分析等方面，详细阐述了渗透测试在网络安全等级保护测评中的应用场景，以及对等级保护测评结论的具体影响，为等级保护工作中的渗透测试实施和结果应用提供了系统性参考。
1. 网络安全概述与等保背景
自 1994 年国务院颁布《中华人民共和国计算机信息系统安全保护条例》规定计算机信息系统实行安全等级保护以来，等级保护工作经历了近 30 年的发展历程，已成为我国网络安全保护的核心制度之一。特别是随着云计算、大数据、物联网等新技术的广泛应用，网络安全形势日益复杂，层出不穷的新漏洞与攻击手段对传统防御体系提出了挑战。
为应对这些新的挑战与要求，在等级保护测评过程中合理应用渗透测试手段，成了及时发现系统存在的安全风险、验证网络安全等级保护基本要求的防护能力、落实网络安全法对于网络的安全防护要求的一个重要举措。通过模拟真实攻击者的行为，组织可以更直观地理解自身系统的脆弱性。
2. 渗透测试概述
2.1 定义与核心逻辑
渗透测试指由授权测试人员通过模拟黑客的真实攻击手段，结合掌握的漏洞信息、攻击方法、攻击策略等，对目标系统采用工具和人工的方式进行分析和利用的过程。其核心在于从攻击者的视角出发，验证安全防护措施的有效性。
在这个过程中，测试人员会灵活运用所掌握的方式，以发现通过单一工具测试、漏洞扫描等自动化检测手段难以检测到的、可以被利用的系统脆弱性。例如，业务逻辑漏洞、权限绕过等往往需要人工深度分析才能发现。因此，对于工具测试而言，渗透测试是一种更全面和更准确的补充。
2.2 测试类型
由于渗透测试通常是基于授权的黑盒或灰盒测试，因此又具有危害可控的特点：
- 黑盒测试：测试人员仅拥有外部访问权限，不掌握内部架构和代码，模拟外部攻击者。
- 灰盒测试：测试人员拥有一定的内部信息（如部分账号、网络拓扑），更接近实际运维环境下的攻击路径。
- 白盒测试：测试人员拥有全部源代码和文档，通常用于开发阶段，但在等保测评现场较少涉及。
3. 等级保护测评中的渗透测试流程
网络安全等级保护过程中的渗透测试与传统的商业渗透测试有一定的区别。在项目实施过程中，渗透测试往往伴随着等级保护测评现场测评阶段开展，以对等级保护测评的测评结果进行补充。
测试人员对于被测系统的系统构成、网络运营者信息、管理人员信息、安全防护措施等都有一定程度的了解，还能够获得被测系统的特定账号，因此网络安全等级保护测评过程中的渗透测试更像是一种介于灰盒和白盒之间的渗透测试。
3.1 标准五步流程
那么等级保护测评可以分为如下几个步骤：
- 现场授权：在等级保护测评的准备阶段，测评项目组会连同等级保护现场测评组，向被测单位申请渗透测试的授权，以确定在此次项目实施的过程中是否开展渗透测试工作。若不开展则要求被测单位出具《自愿放弃验证测试声明》，并记录在案。
- 信息收集：在对被测系统开展测试工作之前，通过收集等级保护测评相关信息、公开信息查询等方式，对被测系统的网络构成、资产构成、域名解析、端口服务等信息进行收集和整理，以便后续开展渗透测试。
- 测试实施：根据前期收集到的信息和授权书中约定的时间，正式开展渗透测试。包含了人工测试和工具测试，可以从等级保护方案中约定的不同接入点进行渗透测试，作为工具测试的补充和验证。
- 风险分析：根据测试过程中发现的系统弱点以及利用的难易程度进行风险分析，并与等级保护相关测评项关联起来，对等级保护测评进行一定程度地补充。重点评估风险对业务连续性和数据机密性的影响。
- 报告编制：整理前期的工作内容，编制《渗透测试报告》。报告需包含漏洞详情、复现步骤、风险等级建议及修复方案。
4. 等级保护测评中渗透测试实施详解
4.1 测评准备阶段
渗透测试人员应在项目经理的带领下，根据调研阶段收集到的系统构成、业务流程、测试需求等信息，进行渗透测试的相关工具、脚本和策略的准备。同时，必须同被测系统运维人员协商，做好测试和评估前的备份工作，确保在极端情况下可快速恢复。
