渗透测试与漏洞扫描经常被混为一谈，但它们是完全不同的两件事——漏洞扫描是自动化工具按 CVE 库快速扫描已知漏洞，几小时即可完成；渗透测试是安全专家以攻击者视角模拟真实攻击，需要 1–4 周，能发现自动化工具无法发现的业务逻辑漏洞、组合攻击链。依据 GB/T 28448-2019《网络安全等级保护测评要求》，两者都是等保 2.0 测评的必备项，但不能互相替代。新亿诚通过渗透测试与漏洞扫描的服务实践经验，本文给出完整对比、典型场景、采购建议。
核心区别一图看懂
| 对比项 | 漏洞扫描 | 渗透测试 |
|---|---|---|
| 本质 | 已知漏洞清查 | 未知威胁攻击模拟 |
| 执行方式 | 自动化工具扫描 | 专家人工 + 工具结合 |
| 覆盖广度 | 广（数千 CVE） | 窄（聚焦关键路径） |
| 覆盖深度 | 浅（表层指纹匹配） | 深（漏洞利用 + 提权 + 横向移动） |
| 耗时 | 2–8 小时 | 5–30 工作日 |
| 误报率 | 较高（10–30%） | 极低（经人工验证） |
| 报告深度 | 漏洞清单 + 修复建议 | 攻击链复现 + 业务影响分析 + 加固方案 |
| 价格（参考） | 0.5–3 万元/次 | 3–30 万元/次 |
| 测试人员 | 初中级安全工程师 | 资深渗透专家 |
| 是否破坏数据 | 否（只读探测） | 有可能（需提前约定边界） |
漏洞扫描：自动化工具按图索骥
漏洞扫描的工作原理：
- 资产发现（IP/端口/服务/Banner 识别）
- 对照漏洞库（CVE、CNNVD、CNVD）匹配指纹
- 调用 PoC（漏洞验证脚本）确认漏洞存在性
- 生成漏洞清单 + 修复优先级
主流工具：
- 商业：Nessus、Qualys、Rapid7、绿盟极光
- 开源：OpenVAS、Nuclei
- 专项：SQLMap（注入）、Burp Suite Scanner（Web）
漏洞扫描的局限：
- 只能发现已收录到漏洞库的「已知漏洞」
- 对业务逻辑漏洞、权限绕过、组合攻击无能为力
- 误报率较高，需要人工二次确认
- 无法验证漏洞的实际危害程度
渗透测试：以攻击者视角找真实风险
渗透测试遵循 PTES（Penetration Testing Execution Standard）7 阶段方法论：
- 前期交互——明确范围、授权、规则、边界
- 情报收集——OSINT、子域名爆破、Google Hacking、社工信息
- 威胁建模——识别高价值资产、攻击路径设计
- 漏洞分析——发现漏洞 + 评估可利用性
- 渗透攻击——实际利用漏洞获取权限
- 后渗透——权限提升、横向移动、数据窃取模拟
- 报告——详细复现步骤 + 业务影响 + 修复方案
渗透测试关注的「自动化工具发现不了的」漏洞类型：
- 业务逻辑漏洞（薅羊毛、订单篡改、积分套利）
- 权限绕过（越权访问、水平/垂直越权）
- 组合攻击链（多个小漏洞串联形成大威胁）
- API 安全（参数污染、批量获取、未鉴权）
- 密钥泄漏（代码仓库、配置文件、日志）
- 0day（未公开漏洞）
什么场景该用哪种？
| 场景 | 推荐方法 | 说明 |
|---|---|---|
| 日常安全运维 | 漏洞扫描（月/季度） | 低成本快速发现新公开漏洞 |
| 上线前安全检测 | 漏洞扫描 + 渗透测试 | 关键系统上线必备 |
| 等保 2.0 测评 | 两者都做 | GB/T 28448-2019 双双要求 |
| 金融、政务系统 | 渗透测试（半年/季度） | 高价值目标必做 |
| 商务级 SaaS 应用 | 渗透测试（年度） | 客户合规审计要求 |
| HW（攻防演练）前 | 渗透测试 + 红蓝对抗 | 实战演练 |
| 合规审计需求 | 视具体合规要求 | 不同合规要求不同 |
渗透测试 vs 红蓝对抗（演练）
三者再细分一下：
- 漏洞扫描 = 健康体检（自动化巡检）
- 渗透测试 = 专家会诊（深度评估单一系统）
- 红蓝对抗 / HW 攻防演练 = 全身手术（多团队多目标真实演练）
红蓝对抗的特点：
- 覆盖范围更广（整个组织、所有资产）
- 时间更长（通常 1–3 个月）
- 采用未知 0day、定制木马
- 测试组织整体安全运营能力
- 预算 30–200 万元/次
采购建议
1. 看资质
- 渗透测试机构需具备 CCRC 信息安全服务（应急处理/风险评估/安全运维）资质
- 测试人员持有 CISP、OSCP、CISP-PTE 等专业证书
- 有 SRC（安全应急响应中心）实战经验
2. 看方法论
- 遵循 PTES、OWASP Testing Guide、NIST SP 800-115
- 提供测试计划、风险评估、应急预案
3. 看报告
合格渗透测试报告必含：
- 测试范围、时间、人员、方法
- 每个漏洞的：详细描述、复现步骤、危害评级、修复建议
- 攻击链复现（高危漏洞）
- 整体安全评估结论
- 复测计划
4. 看保密
- 签订严格的保密协议（NDA）
- 测试数据、漏洞细节、报告均需保密
- 关键设备测试时全程录屏、可溯源
新亿诚渗透测试服务
新亿诚提供：
- Web 应用渗透测试
- 移动 APP 渗透测试
- API 接口渗透测试
- 内网渗透测试（横向移动）
- 主机操作系统渗透测试
- 红蓝对抗 / HW 攻防演练
详情见 等保 2.0 测评服务 或 咨询顾问。
常见问题
渗透测试会影响业务吗？
专业渗透测试有完整的「边界控制」机制：测试前明确禁用 DDoS、数据破坏、生产数据修改等高风险操作。建议选择 业务低峰期 + 测试环境 执行，必要时全程值守应急团队。
漏洞扫描能替代渗透测试吗？
不能。漏洞扫描只能发现已知漏洞，渗透测试才能发现业务逻辑漏洞、组合攻击、0day。两者互为补充，不能替代。等保 2.0 中两者都是必备项。
多久做一次合适？
- 漏洞扫描：每月 1 次（关键系统每周 1 次）
- 渗透测试：每年 1–2 次 + 系统重大变更后
- 红蓝对抗：每年 1 次（金融、政务建议每年 2 次）
渗透测试是软件测试报告的安全维度
渗透测试单独出报告也行，但作为软件验收 / 等保整改 / 招投标的合规材料时，建议作为 CMA + CNAS 软件测试报告的一个测评维度统一出具——一份报告同时支撑多场景。联系顾问评估你的渗透测试需求。
