在上述五点中，其准确性容易失真的当属“社会工程学与安全意识”测试。由于测试本身可能事先已被知晓、或是采集的“样本”不够丰富、甚至测试的时间不够充沛，都可能产生员工安全意识强的假象。

总结

上面便是我“跳”出来的一些玩法心得，它们恰好能“投射”到我们日常渗透测试的各个方面。

综上所述，通过全面的渗透流程能够帮助我们发现系统环境中客观存在的漏洞，而人员的安全意识与习惯则决定了漏洞被利用的可能性。

因此就算企业通过了上述两类攻击和测试，也只是一个短暂的平衡态。但是倘若我们根本不去做任何“自攻”的话，则会让整个企业系统如同那只“薛定谔的猫”一样，在日常运营中持续处于风险与安全叠加的状态。

由此可见，我们要定期在企业内部和外部执行系统性的渗透攻击与测试，以免各种攻击者在我们的世界里任性地跳来跳去、愉快地独自玩耍。

关于作者

陈峻（Julian Chen） ，有着十多年的 IT 项目、企业运维和风险管控的从业经验，日常工作深入系统安全各个环节。曾被(ISC)2 评为第九届亚太区信息安全领袖成就表彰计划的“信息安全践行者”和 Future-S 中国 IT 治理和管理的 2015 年度践行人物。

（编辑：ASP站长网）