Pentest Checklist

Pentest Checklist - 渗透测试全流程规划清单

技能概述

Pentest Checklist 是一套完整的渗透测试规划与执行清单，帮助安全团队和企业从零开始系统化地准备、执行和跟进渗透测试项目，涵盖范围定义、环境准备、团队选择、测试监控和漏洞修复全流程。

适用场景

1. 企业安全评估规划

当企业需要进行年度安全评估、合规性安全测试（如等保、PCI-DSS、GDPR 要求）或上市前安全检查时，本技能提供完整的项目规划框架，帮助定义测试范围、选择测试类型（外部测试、内部测试、Web应用测试、社会工程学测试或红队演练），并确保所有法律授权和云服务商许可就位。

2. 渗透测试项目准备

在正式启动渗透测试前，使用本技能完成环境准备工作：决定测试环境（生产环境/预发布环境/克隆环境）、运行预扫描修复明显漏洞、冻结代码部署、通知云服务商（AWS/Azure/GCP）、配置日志监控和 IDS/IPS、准备测试账户，以及验证备份可用性，避免测试过程影响业务正常运行。

3. 漏洞修复与验证跟进

渗透测试结束后，本技能提供完整的修复跟进流程：分析测试报告并按风险级别优先排序漏洞、分配修复责任人、规划修复时间窗口、避免测试期间随意修补（保持环境一致性）、制定修复验证计划、清理测试账户和测试残留、规划下一次测试周期（年度/季度/持续测试）。

核心功能

1. 五阶段测试框架

将渗透测试项目分解为五个清晰的阶段：范围定义（明确目标、测试类型、威胁面、预算）、环境准备（环境选择、预扫描、合规审查、服务商通知）、专家选择（评估资质、定义方法论、约定报告格式）、实时监控（IDS/IPS部署、日志集中、异常告警）和修复跟进（漏洞排序、修复实施、验证测试、环境清理），每个阶段都提供详细的检查项和操作指南。

2. 测试类型与方法论指导

明确区分五种常见测试类型的应用场景和覆盖范围：外部渗透测试（公网攻击面）、内部渗透测试（内网威胁）、Web应用测试（应用层漏洞）、社会工程学测试（人员安全）和红队演练（全方位对抗）；提供黑盒测试、灰盒测试和白盒测试的选择建议，以及主流测试标准（PTES、OWASP、NIST）的对比参考，帮助团队根据实际需求选择合适的测试策略。

3. 风险管控与合规保障

内置完整的风险控制机制：生产环境测试的替代方案（staging/clone）、DoS 测试的限制条款、云服务商授权申请流程（包含 AWS/Azure/GCP 官方政策链接）、法律授权文档要求、敏感数据处理规范、测试期间冻结开发的建议、测试账户管理规范、以及测试完成后的环境清理清单，确保安全测试活动合法合规且不影响业务连续性。

常见问题

渗透测试前需要做哪些准备工作？

渗透测试前的准备工作包括五个关键步骤：第一，明确定义测试范围和目标，确定要测试的系统、IP、域名和应用，以及明确排除的范围；第二，获取正式的书面授权，包括管理层批准和云服务商（如 AWS、Azure）的许可；第三，准备测试环境，优先使用 staging 或克隆环境，如果必须在生产环境测试需设定严格限制并避开业务高峰期；第四，运行初步漏洞扫描并修复明显问题，避免在已知漏洞上浪费时间；第五，配置监控和日志收集，便于区分测试活动和真实攻击。

如何定义渗透测试的范围和边界？

定义渗透测试范围需要从多个维度进行规划：首先明确测试目标，是发现漏洞、满足合规要求还是获取客户认证；其次列出所有纳入测试的资产清单，包括 IP 地址段、域名、Web 应用 URL、移动应用等；同时明确排除的项目，如第三方系统、生产数据库、不可中断的关键业务；最后约定测试方法和限制，如是否允许 DoS 测试、是否需要社会工程学测试、测试时间段等。建议使用正式的授权文档记录所有这些信息，任何范围变更都需要书面确认。

生产环境可以进行渗透测试吗？

生产环境可以进行渗透测试，但需要采取额外的风险控制措施：优先选择业务低峰期或非工作时间进行测试；明确定义测试限制，如禁止 DoS 攻击、禁止大量数据导出、禁止影响用户体验的操作；确保有完整的备份和快速恢复预案；加强实时监控，准备随时中断测试；与运维团队充分沟通，确保能够区分测试活动和真实攻击；如果可能，建议先在 staging 环境或克隆环境进行测试，验证后再在少量生产实例上执行。对于高风险操作，强烈建议使用非生产环境。

渗透测试报告应该包含哪些内容？

一份完整的渗透测试报告应包含以下核心内容：执行摘要面向管理层，概述发现的高风险漏洞、业务影响和整体安全态势；技术发现部分详细列出每个漏洞，包括 CVE 编号、CVSS 评分、复现步骤、截图/证据、受影响资产和修复建议；风险评估表按严重程度排序所有发现；方法论说明描述使用的测试标准（如 OWASP、PTES）和测试范围；最后提供修复验证指南，说明如何验证修复是否有效。建议同时提供机器可读格式（如 CSV、XML）便于漏洞管理系统导入。

渗透测试应该多久做一次？

渗透测试的频率取决于多个因素：法规要求（如 PCI-DSS 要求年度测试和重大变更后测试）、业务变化速度（频繁发布产品的组织需要更频繁测试）、风险容忍度（高敏感度行业需要更密集测试）和过往测试结果（如果发现严重漏洞，修复后应尽快重测）。一般建议至少每年进行一次全面渗透测试，在重大系统变更、新应用上线、安全事件发生后进行针对性测试。有条件的组织可以考虑持续测试方案，如漏洞奖励计划或季度滚动评估。