NIST Special Publication 800-53 Revision 5.2.0 Rev 5.2.0

渗透测试是一种针对系统或系统组件进行的专业评估，旨在识别可能被对手利用的漏洞。渗透测试超越了自动化漏洞扫描，由具备技术专长的个体或团队进行，他们在网络、操作系统和/或应用级别安全方面拥有可证明的技能和经验。渗透测试可用于验证漏洞或确定系统在特定限制条件下对敌手的抵御能力。这些限制包括时间、资源和技能。渗透测试试图复制敌手的行为，并提供对安全和隐私相关弱点或缺陷的更深入分析。渗透测试在组织从旧技术向新技术过渡时尤其重要（例如，从 IPv4 网络协议过渡到 IPv6 网络协议）。组织可以利用漏洞分析的结果来支持渗透测试活动。渗透测试可以在系统的硬件、软件或固件组件上进行，既可以由内部进行，也可以由外部进行，并且可以测试物理和技术控制措施。渗透测试的标准方法包括基于对系统全面了解的测试前分析、根据测试前分析进行的潜在漏洞识别，以及旨在确定漏洞可利用性的测试。所有各方在开始渗透测试情景之前都会同意交战规则。组织将渗透测试的交战规则与预期对手可能使用的工具、技术和程序相关联。渗透测试可能会导致受法律或法规保护的信息被进行测试的人员接触到。可以使用交战规则、合同或其他适当的机制来传达如何保护这些信息的期望。风险评估指导关于进行渗透测试的人员所需独立性水平的决策。