繁體中文

← 返回列表

VAPT 到底是做什麼的？NIST SP 800-115 拆解漏洞評估與滲透測試的邊界

itadol5j

安全圈裏 VAPT（Vulnerability Assessment and Penetration Testing，漏洞評估與滲透測試）幾乎是被用得最濫也最容易混淆的一組縮寫。採購清單上寫”VAPT 服務一次”，交付的可能是一堆掃描報告，也可能是一份真實的入侵路徑覆盤——兩者價差不小，價值更是天壤之別。本文按最權威的一份公開方法論把邊界講清楚：美國國家標準與技術研究院 NIST 的 SP 800-115《Technical Guide to Information Security Testing and Assessment》（2008 年 9 月發佈，取代 SP 800-42）。

漏洞評估與滲透測試對比：VA 列清單，PT 驗證打穿

一、VA 和 PT 的分界線：NIST 一句話點破

NIST 原文的說法非常直接：漏洞掃描器只檢查漏洞”可能存在”（possible existence），而滲透測試的攻擊階段要實際利用（exploits the vulnerability to confirm its existence）來確認它真實存在。這就是兩者的本質分工：

  • 漏洞評估（VA）：批量識別主機、服務、應用，比對漏洞庫（如 NVD），輸出”有多少洞、多嚴重”的清單。自動化程度高、覆蓋面大，但報告裏混着誤報，也基本不回答”這些洞組合起來能走多遠”。
  • 滲透測試（PT）：模擬真實攻擊者，對選定目標發動實打實的攻擊。NIST 特別強調，多數滲透測試的價值在於發現單個系統或多系統上漏洞的組合——拿到比任何單一漏洞都更大的訪問權。

一句話：VA 是體檢普查，PT 是真人對抗演練。合規場景裏兩者常打包採購，但驗收時必須問清：有沒有實際利用驗證？還是隻交了 Nessus 導出表？

二、NIST 四階段方法論

NIST SP 800-115 滲透測試四階段：計劃、發現、攻擊、報告

SP 800-115 第 5.2.1 節把滲透測試劃分爲四個階段（Figure 5-1）：

  • Planning 計劃：識別規則、取得管理層批准並書面化、設定測試目標。NIST 明確：這個階段不做任何實際測試，但它是整個測試成敗的地基。
  • Discovery 發現：信息收集加漏洞分析。端口與服務識別、DNS/WHOIS 查詢、banner 抓取、NetBIOS 枚舉（僅限內部測試）；再把掃到的東西比對漏洞庫。人工比庫能抓到掃描器漏掉的新奇漏洞，只是慢。
  • Attack 攻擊：測試的核心。對已發現的潛在漏洞逐個嘗試利用；成功則漏洞被驗證、同時明確對應的緩解措施；利用後若發生提權，要繼續分析網絡真實風險水位；某個漏洞打不動就換下一個。攻擊與發現之間有反饋環——拿到新立足點後回頭再收集、再驗證，多系統滾動測試。
  • Reporting 報告：不是最後才寫，而是與其他三個階段同步進行，邊測邊記錄。

NIST 也提醒這只是”一種可接受的劃分方式”，但業界主流流程（包括 OWASP WSTG 與 PTES 標準）都能對應到這個骨架上：OWASP Web 安全測試指南是 Web 應用測試事實上的公開手冊，PTES 則把前期交互/情報收集/威脅建模/利用/後利用/報告六段式寫成了社區標準。

三、Overt 還是 Covert：先定遊戲規則

NIST 把安全測試按知情程度分兩類：Overt（白帽）測試在 IT 團隊知情並同意下進行，目的是儘可能全地找洞；Covert（黑帽）對抗測試則不通知防守方，考察真實對抗下組織能造成多大損失、檢測響應是否靈。兩者目的完全不同，別用一份掃描報告同時聲稱兩個效果。無論哪種，Rules of Engagement（交戰規則）先行：範圍、時段、禁止動作（如 DoS、刪改生產數據）、停止條件、緊急聯繫人，全部書面化——NIST 附錄 B 直接給了 ROE 模板。滲透測試天然涉及真實系統與真實數據，沒有 ROE 的”滲透測試”約等於無照行兇。

VAPT 動手前四件事：交戰規則、場景選擇、組合風險、可落地報告

四、給甲方和乙方各三條實操建議

甲方驗收姿勢：1）要求報告區分”掃描發現”與”已驗證利用”，只有後者配得上高危結論；2）關注組合路徑與最終落腳點（域控？數據庫？），而不是 CVSS 平均分；3）覈對測試範圍與 ROE 是否覆蓋了雲上資產和 API 面。

乙方職業姿勢：1）Plan 階段沒拿到書面批准絕不動手，NIST 把這句話寫在了方法論第一節；2）報告同步寫，截圖、時間線、復現步驟當場留檔，事後補記錄是質量災難；3）漏洞分類別只盯 CVE——NIST 點名的三大類是錯誤配置（尤其不安全默認值）、內核缺陷、緩衝區溢出，實際項目裏打穿防線的多數是第一個。

信源：NIST SP 800-115（2008-09），csrc.nist.gov/pubs/sp/800/115/final，PDF 全文覈對第 2.4.2、4.3、5.2.1 節與附錄 B/F；交叉印證：owasp.org WSTG 項目頁、pentest-standard.org。文中定義與論斷均可在原文對應章節查證。