方法

在受控条件下，以证据支持的评估。

每项渗透测试及信息技术审计均以明确的目标及书面授权为前提，并根据受评估环境及所需的保证程度，选定相应的方法及评估标准。

黑盒

外部视角

测试人员在没有内部知识或凭证的情况下开始工作，这与外部威胁者的视角非常相似。

知情的角度

提供有限的访问权限和上下文，以有效检查已认证区域并测试实际权限边界。

完整背景审阅

在开发过程中，可包含架构、源代码和管理上下文，以实现深度覆盖和保障。

参与规则

书面范围和授权

测试前签署保密协议

指定升级联系人

商定的测试窗口

带有证据的已验证发现

按风险排序的补救指引

定义目标、经批准的系统、限制、测试窗口、联系人及交战规则。

确立经授权的攻击面、架构、用户角色、资产和适用的评估标准。

使用适合环境的手动和技术方法评估经批准的范围。

安全地确认发现，消除误报，并建立切实可行的技术和业务影响。

接收附有证据、风险评级、执行摘要和修复优先次序的调查结果。

与评估团队审阅拟议的纠正措施并澄清实施优先次序。

验证已议定的修复措施，并记录每个经测试的发现是否已解决、减少或仍未解决。