滲透測試：資安維運技術的實戰演練

一、什麼是滲透測試（PenTest）？

滲透測試是一種模擬駭客攻擊的手段，目的是在不造成實質損害的情況下測試系統的安全性。測試者會試圖入侵系統，發現可能被利用的漏洞，進而讓企業能預先補強。

滲透測試 ≠ 弄壞系統

合法的滲透測試 經過授權與規劃，而不是亂打一通的掃描。

二、滲透測試與漏洞掃描有什麼不同？

📌 iPAS 小提醒：

常見題型會問「下列何者屬於資安維運的主動攻擊技術？」正解通常是「滲透測試」而非漏洞掃描。

🧪 三、滲透測試流程（標準作法）

依據 NIST SP 800-115 或 OSSTMM、PTES 等標準流程：

1. 規劃與準備（Planning）

   • 明確授權（避免非法）
   • 確定目標範圍與測試目標

2. 資訊蒐集（Reconnaissance）

   • 網域查詢、子網資訊、DNS、公開資料等

3. 威脅建模與漏洞掃描（Scanning）

   • 掃描開放的 port、服務、作業系統指紋

4. 利用漏洞（Exploitation）

   • 利用已知漏洞取得存取權限、橫向移動

5. 維持存取（Post Exploitation）

   • 嘗試建立持久後門、提權、竊取資料

6. 清理與報告（Reporting）

   • 移除後門、不留痕跡，出具書面報告

🧰 四、常見滲透測試工具與框架

🔐 五、滲透測試與資安維運的關係

• 滲透測試屬於 Proactive Defense（主動防禦）
• 可作為 風險評估工具，與弱點修補（Vulnerability Management）搭配使用
• 提升 安全意識，讓資安團隊理解實際風險
• 在安全憑證（如 ISO 27001、SOC 2）中，也常列為建議項目