如果把企業的信息安全管理比作牙齒護理，安全服務公司比作牙醫，那麼企業自己定期進行滲透測試自查就好比刷牙和使用牙線，如今幾乎所有安全顧問公司都會建議企業重視滲透測試檢查，這樣可以有效避免很多淺顯而嚴重的失誤和漏洞。

滲透

可能有的人要問：什麼是滲透測試？根據懸鏡安全實驗室給出的定義：是資深安全專家在客戶授權委託的情況下，完全模擬黑客可能使用的攻擊技術和漏洞挖掘技術，對在線目標系統做全方位的滲透攻擊測試，提前發現系統潛在的各種高危漏洞和安全威脅。

針對不同的應用，服務的方式也是不盡相同。下面小編結合目前懸鏡實驗室推出的滲透測試業務做詳細說明，讓您更清楚哪一個服務適合您？

01.針對單個web應用

web應用主要指的是網站。一般公司都會有網站，網站打不開，被注馬，SQL，xss注入也是非常正常的一件事情。高級安全工程師經客戶授權，以外網普通用戶訪問模式對所有互聯網可以訪問的在線系統、web應用和服務器系統進行的滲透攻擊測試服務，幫助客戶挖掘高危應用安全漏洞及修復漏洞，及時規避黑客入侵風險。

web應用滲透

滲透測試內容：

web滲透測試內容

02.針對單個APP進行滲透測試

高級安全工程師經客戶授權，以互聯網普通用戶訪問模式對目標移動應用進行滲透攻擊測試服務，幫助客戶挖掘高危應用安全漏洞及修復漏洞，及時規避黑客入侵風險。

單個app

滲透測試內容：

單個app滲透測試

除了針對web應用和APP的滲透測試，懸鏡安全實驗室還推出一款針對安卓APP進行自動化的“天玄風險評估系統”。

這個主要是一款針對安卓APP進行安全評估的。對安卓App涉及病毒、木馬、權限失控、反編譯、二次打包等安全問題，以及自身風險、漏洞進行定製化全方位深度檢測，並提供詳細有針對性的修復建議。

這個時候肯定會有人問：

滲透測試與安全檢測的區別？

安全測試不同於滲透測試，滲透測試側重於幾個點的穿透攻擊，而安全測試是側重於對安全威脅的建模，系統的對來自各個方面，各個層面威脅的全面考量。

安全測試可以告訴您，您的系統可能會來自哪個方面的威脅，正在遭受哪些威脅，以及您的系統已經可抵禦什麼樣的威脅。

滲透測試考慮的是以黑客方法，從單點上找到利用途徑，證明你有問題，幫助客戶提高認識，也能解決急迫的一些問題，但無法也不能去針對系統做完備性的安全測試，所以難以解決系統自身實質性的安全問題，所以提供滲透測試的廠商一般都是自己買什麼防護設備，以自己防護設備針對的威脅為主要滲透點，找到你有類似的問題，解決方案就以賣對應的防護設備作為手段，針對具體的威脅，通過防護設備 採取被動的防護。

而安全測試的廠商，則從整體系統架構，安全編碼，安全測試，安全測試覆蓋性，安全度量等多個因素去考慮問題，提出的解決方法則是逐步幫助客戶引入安全開發過程，提供相應的工具支撐，目標是最後讓客戶提升業務系統自身實質性安全問題。

安全測試首先會對被測試系統做系統分析，分析其架構，軟件體系以及程序部署等等，然後再對被測系統做系統安全分析，在這之後會對系統進行安全建模，明確本系統可能來自的各個潛在威脅，之後需要剖析系統，確認有哪些攻擊界面，根據測試方案進行測試。

現在很多企業對於滲透測試理解的還是比較淺薄，但根據小編關於滲透測試服務的類型以及服務內容來看，可以保證業務的正常運行，防止不明攻擊帶來的破壞。而安全測試則更側重於開發階段就需要對架構的設計做一個安全測試分析。

如果企業剛開始沒有注意安全方面，小編建議可以先做一個滲透測試，提前幫助企業規避掉很多的麻煩。

既然有自動化，那手動測試的必要性？

手動測試作為自動測試的一種補充，是滲透測試過程中必不可少的一個重要部分。滲透測試不同於傳統的安全掃描，在整體風險評估框架中，脆弱性與安全掃描的關係可描述為“承上”，是對掃描結果的一種驗證和補充。

另外，滲透測試相對傳統安全掃描的最大差異在於滲透測試需要大量的人工介入的工作。這些工作主要由專業安全人員發起，一方面，他們利用自己的專業知識，對掃描結果進行深入的分析和判斷。另一方面則是根據他們的經驗，對掃描器無法發現的、隱藏較深的安全問題進行手工的檢查和測試，從而做出更為精確的驗證（或模擬入侵）行為。

安普諾旗下懸鏡安全實驗室，實驗室核心成員來自北京大學信息安全實驗室，具有多年的漏洞挖掘、逆向分析、機器學習等核心技能。

目前，實驗室主要職責是前沿安全技術研究和為企業客戶提供專業的安全服務和安全諮詢，主要包括基於深度學習的Web威脅檢測引擎研究、惡意樣本分析、高級滲透測試服務、主機安全巡檢服務、應急響應服務、服務器防黑加固服務等方面的安全工作。

除此之外，懸鏡安全實驗室還負責全天候監控全球安全漏洞與威脅情報，自動化完成對重大安全漏洞、安全威脅情報收集，第一時間做出精準威脅預警，並提供實時有效威脅處置或緩解方案。

目前，安普諾旗下的懸鏡安全實驗室已面向金融、電商、政企客戶以及應用開發商等行業推出“雲+端”一站式綜合防黑加固解決方案。

其中，企業安全服務主要包括高級滲透測試服務、安全巡檢服務、應急響應服務、防黑加固服務等；安全產品主要包括懸鏡服務器衛士、雲脈Web威脅深度檢測引擎、雲諾Web威脅智能預警平臺、雲鑑漏洞掃描平臺等。