渗透测试 - 修复

渗透测试工作——无论多么彻底——都不能始终确保详尽地发现安全控制有效性不足的每个实例。在一个应用程序区域中识别跨站点脚本漏洞或风险可能无法确定地暴露该应用程序中存在的所有此类漏洞实例。本章说明了修复的概念和实用程序。

什么是修复？

修复是提供改进以替代错误并将其纠正的行为。通常，在一个区域中存在漏洞可能表明流程或开发实践中的弱点，这些弱点可能已在其他位置复制或启用了类似的漏洞。因此，在进行修复时，测试人员务必仔细调查经过测试的实体或具有无效安全控制的应用程序。

由于这些原因，相关公司应在原始渗透测试后的一段时间内采取措施修复任何可利用的漏洞。实际上，一旦公司完成了这些步骤，渗透测试人员应执行重新测试以验证新实施的能够降低原始风险的控制措施。

在初始渗透测试后持续较长时间的修复工作可能需要执行新的测试工作，以确保对最新环境的准确结果。应在对自完成原始测试以来发生了多少变化进行风险分析后做出此决定。

此外，在特定条件下，标记的安全问题可能说明了相关环境或应用程序中的基本缺陷。因此，重新测试的范围应考虑从测试中识别出的修复引起的任何更改是否被归类为重大更改。所有更改都应重新测试；但是，是否需要进行整个系统重新测试将由更改的风险评估决定。