软件测试中：安全测试和渗透测试的区别在哪里？

一、渗透测试 (penetration test)并没有一个标准的定义，国外一些安全组织达成共识的通用说法是：渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。换句话来说，渗透测试是指渗透人员在不同的位置（比如从内网、从外网等位置）利用各种手段对某个特定网络进行测试，以期发现和挖掘系统中存在的漏洞，然后输出渗透测试报告，并提交给网络所有者。网络所有者根据渗透人员提供的渗透测试报告，可以清晰知晓系统中存在的安全隐患和问题。

二、安全测试是在IT软件产品的生命周期中，特别是产品开发基本完成到发布阶段，对产品进行检验以验证产品符合安全需求定义和产品质量标准的过程 。目的在于提升IT产品的安全质量；尽量在发布前找到安全问题予以修补降低成本 ；度量安全。验证安装在系统内的保护机制能否在实际应用中对系统进行保护，使之不被非法入侵，不受各种因素的干扰。

三、差异对比：

1.出发点差异

渗透测试是以成功入侵系统，证明系统存在安全问题为出发点

安全测试则是以发现系统所有可能的安全隐患为出发点

2.视角差异

渗透测试是以攻击者的角度来看待和思考问题

安全测试则是站在防护者角度思考问题，尽量发现所有可能被攻击者利用的安全隐患，并指导其进行修复

3.覆盖性差异

渗透测试只选取几个点作为测试的目标

安全测试是在分析系统架构并找出系统所有可能的攻击界面后进行的具有完备性的测试

4.成本差异

渗透测试需要投入的时间和人力相对较少

安全测试需要对系统的功能、系统所采用的技术以及系统的架构等进行分析，需要投入更多的时间和人力

5.解决方案差异

渗透测试无法提供有针对性的解决方案

安全测试会站在开发者的角度分析问题的成因，提供更有效的解决方案

标签：安全测试、渗透测试