• 

  分析准备阶段

  确定项目评估范围，调研客户管理制度、主要业务系统和业务系统功能、网络结构与网络环境。
• 

  现状评估阶段

  通过信息系统资产识别，调研已有安全措施，确立组织的安全策略等活动，对信息系统进行详细的全面摸底，并完成信息资产列表和资产价值赋值。
• 

  威胁评估

  从物理、网络、主机、数据、应用五个层面分析信息资产可能面临的威胁及手段，评估威胁产生的范围和影响力，并进行赋值分析和列表。
• 

  脆弱性评估

  面向信息资产，采用诸如安全访谈与检查、系统漏洞扫描、WEB漏洞扫描、系统安全配置参数核查等多种脆弱性发现技术，充分发现信息系统的技术弱点、行为弱点和管理弱点，并进行专家解读和赋值，形成信息资产脆弱性清单和脆弱性赋值。
• 

  风险分析阶段

  通过量化信息资产价值、脆弱性和威胁，采用标准风险度量计算方法计算风险，并根据风险量化值分级排序，获得信息系统风险等级清单，进行信息安全风险象限分析。
• 

  风险处置阶段

  在充分认知和度量信息系统风险的基础上，结合经验分析，形成权威的安全评估报告，并对信息系统的风险处置给出专家意见。

渗透测试需要服务人员尽可能完整的模拟黑客使用的漏洞发现技术和攻击手段，从攻击者的角度对目标网络、系统、主机应用的安全性作为深入的非破坏性的探测，发现系统最脆弱的环节。渗透测试能够以非常明显、直观的结果反映出系统的安全现状，其目的是能够让管理人员直观的了解自己网络和系统所面临的问题。

• 

  网络方面

  针对该系统所在网络层进行网络拓扑的探测、路由测试、防火墙规则试探、规避测试、入侵检测规则试探、规避测试、无线网安全、不同网段Vlan之间的渗透、端口扫描等存在漏洞的发现和通过漏洞利用来验证此种威胁可能带来的损失或后果，并提供避免或防范此类威胁、风险或漏洞的具体改进或加固措施。

  了解更多
• 

  系统方面

  通过采用适当的测试手段，发现测试目标在系统识别、服务识别、身份认证、数据库接口模块、系统漏洞检测以及验证等方面存在的安全隐患，并给出该种隐患可能带来的损失或后果，并提供避免或防范此类威胁、风险或漏洞的具体改进或加固措施。

  了解更多
• 

  应用方面

  通过采用适当测试手段，发现测试目标在系统认证及授权、代码审查、被信任系统的测试、文件接口模块、应急流程测试、信息安全、报警响应等方面存在的安全漏洞,演示再现利用该漏洞可能造成的客户资金损失，提供避免或防范此类威胁、风险或漏洞的具体改进或加固措施。

  了解更多
• 

  实施准备

  1、渗透测试方案及计划;
  2、渗透测试方案的风险规避。
• 

  信息搜集

  1、域名及IP分布;
  2、网络拓扑、设备及操作系统;
  3、端口及服务;
  4、应用系统情况;
  5、最新漏洞情况;
  6、其他信息。
• 

  渗透实施

  1、获取目标系统权限;
  2、利用漏洞或后门木马植入，获取控制;
  3、跳板渗透，进一步扩展攻击成果;
  4、获取敏感信息数据和资源。