隨著IT安全產業的迅速發展，大量新技術、新領域的不斷涌現使得我們能夠更好地理解和正確地維護網絡安全。然而由于許多商業性機構經常會錯誤理解安全評估的不同類型，導致人們常會把漏洞掃描和滲透測試搞混。

　　滲透測試和漏洞掃描有什么區別嗎?我是做滲透測試好，還是做漏洞掃描好呢?今天，小編從以下三點和大家分享下二者之間的區別及二者到底應該如何選擇。

　　1、概念不同

　　什么是滲透測試?

　　滲透測試服務(黑盒測試)是指在客戶授權許可的情況下，利用各種主流的攻擊技術對網絡做模擬攻擊測試，以發現系統中的安全漏洞和風險點，提前發現系統潛在的各種高危漏洞和安全威脅。

　　什么是漏洞掃描?

　　漏洞掃描是指基于漏洞數據庫，通過掃描等手段對指定的遠程或者本地計算機系統的安全脆弱性進行檢測，發現可利用漏洞的一種安全檢測(滲透攻擊)行為。

　　一般滲透測試是由人工完成的，而漏洞掃描因工作量大多由工具完成，現在市面上的漏洞掃描工具也是琳瑯滿目。

　　從定義中我們可以看出：

　　滲透測試除了定位漏洞外，還需要進一步嘗試對漏洞進行攻擊利用、提權以及維持對目標系統的控制權;而漏洞掃描只是清楚的展示出系統中存在的所有缺陷，但不會衡量這些缺陷對系統造成的影響。

　　漏洞掃描和滲透測試的另一不同之處在于：滲透測試的侵略性要強很多，它會試圖使用各種技術手段攻擊真實生產環境;相反，漏洞掃描只會以一種非侵略性的方式，仔細定位和量化系統的所有漏洞。

　　2、操作方式不同

　　就難度來說，滲透測試操作難度較大，范圍也是有針對性的，且是需要人為參與。聽說過漏洞自動化掃描，但你絕對聽不到世界上有自動化滲透測試。滲透測試過程中，信息安全滲透人員使用大量的工具，同時需要非常豐富的專家進行測試。

　　滲透測試員不僅要針對應用層或網絡層等進行測試，還需要出具完整的滲透測試報告。一般的報告主要包括以下內容：滲透測試過程中發現可被利用的漏洞、出現的原因、解決方法等詳細文字化的描述。

　　當然在滲透的過程中，特別是對低風險資產上需要花費大量的時間，需要高技術的滲透測試人才，所以這也是為什么滲透測試那么貴的原因。

　　而漏洞掃描是在網絡設備中發現已經存在的漏洞，比如防火墻、路由器、交換機服務器等各種應用，該過程是自動化的，主要針對的是網絡或應用層上潛在的及已知漏洞。漏洞的掃描過程中是不涉及到漏洞的利用的。漏洞掃描在全公司范圍進行，需要自動化工具處理大量的資產。其范圍比滲透測試要大。漏洞掃描產品通常由系統管理員或具備良好網絡知識的安全人員操作，想要高效使用這些產品，需要擁有特定的產品知識。

　　一般大型公司會采購自動化的漏洞掃描產品，每天或者每周都能定期的進行漏洞掃描，類似于在電腦上安裝殺毒軟件，每天只需要掃一掃就可以，定期進行殺毒。

　　而滲透測試在新產品上線或發現公司有非常重要的數據在服務器上害怕泄露、被竊取，讓專業的安全廠商定期進行人工操作。

　　從以上可以看出，兩者并不是獨立存在的，也是需要結合使用，才能達到最佳的效果，確保公司的信息化安全。

　　3、價格不同

　　從以上2點的介紹，想必大家也能大概猜出哪一個價格高，哪一個價格低了。沒錯，相對漏洞掃描來說，滲透測試比一般漏洞掃描貴好幾倍。企業在選擇兩個產品服務時，要看好自己目前階段適合哪一個，一般來說，滲透測試發生在新品上線或系統有大的更新，或者一年2至4次即可，漏洞掃描每周定期自動化掃描即可。

　　漏洞掃描和滲透測試二者結合，才能得到最佳的效果，幫助確定最適合于公司、最具有實踐性的措施——無論是漏洞掃描還是滲透測試都非常重要，應用目的不同，產生不同的結果。