滲透測試 - 修復

滲透測試工作——無論多麼徹底——都不能始終確保詳盡地發現安全控制有效性不足的每個例項。在一個應用程式區域中識別跨站點指令碼漏洞或風險可能無法確定地暴露該應用程式中存在的所有此類漏洞例項。本章說明了修復的概念和實用程式。

什麼是修復？

修復是提供改進以替代錯誤並將其糾正的行為。通常，在一個區域中存在漏洞可能表明流程或開發實踐中的弱點，這些弱點可能已在其他位置複製或啟用了類似的漏洞。因此，在進行修復時，測試人員務必仔細調查經過測試的實體或具有無效安全控制的應用程式。

由於這些原因，相關公司應在原始滲透測試後的一段時間內採取措施修復任何可利用的漏洞。實際上，一旦公司完成了這些步驟，滲透測試人員應執行重新測試以驗證新實施的能夠降低原始風險的控制措施。

在初始滲透測試後持續較長時間的修復工作可能需要執行新的測試工作，以確保對最新環境的準確結果。應在對自完成原始測試以來發生了多少變化進行風險分析後做出此決定。

此外，在特定條件下，標記的安全問題可能說明了相關環境或應用程式中的基本缺陷。因此，重新測試的範圍應考慮從測試中識別出的修復引起的任何更改是否被歸類為重大更改。所有更改都應重新測試；但是，是否需要進行整個系統重新測試將由更改的風險評估決定。