渗透测试有哪些收益？

通过渗透测试，可以在发生黑客入侵之前，提前对系统的安全状况进行全面详细的检测，能够直观的让管理人员及时掌握了解系统存在的威胁与脆弱性，对发现的问题进行加固，减少因黑客入侵给企业带来的损失。

会不会对业务造成影响？

百度采取多种风险控制措施，保障渗透测试过程不会对企业正常业务造成影响。

渗透测试与漏洞扫描有什么区别？

漏洞扫描是利用工具对系统可能存在的漏洞与威胁进行自动化扫描体检，检测速度比渗透测试更快，但检测的颗粒度比较粗，没有渗透测试精细，并且存在误报的情况；而渗透测试是人工对系统可能存在的漏洞与威胁进行手动检测，能够做到漏洞零误报，定位更精准，准确性更高。

如何避免风险？

我们在实施渗透测试中采取以下措施来减小风险：

• 双方确认

进行渗透测试前，必须获得企业的同意与授权。对于任何渗透测试的对象的变更和测试条件的变更也都必须获得双方的同意并达成一致意见，方可执行。

• 工具选择

为防止造成真正的攻击，在渗透性测试项目中，会严格选择测试工具，杜绝因工具选择不当造成的将病毒和木马植入的情况发生。

• 时间选择

为减轻渗透性测试对用户网络和系统的影响，渗透测试安排在不影响系统正常业务运作的时间段进行，具体时间主要限制双方协调和商定的时间范围内。

• 范围控制

百度承诺不会对授权范围之外的网络设备、主机和系统进行漏洞检测、攻击测试，严格按照渗透测试范围内限定的对象进行测试。

• 策略选择

为防止渗透性测试造成用户网络和系统的服务中断，百度在渗透性测试中不使用含有拒绝服务的测试策略，不使用未经系统许可的方式进行渗透测试。

• 项目沟通

在实施过程中，除了确定测试人员以外，还要确定客户方配合人员，建立双方直接沟通的渠道，并保持及时、充分、合理的沟通。

• 系统备份和恢复措施

为避免实际渗透测试过程中可能会发生不可预知的风险，在渗透测试前相关管理人员应对系统或关键数据进行备份、确保相关的日志审计功能正常开启，一旦在出现问题时，可以及时的恢复运转。

在渗透测试过程中，如果出现被评估对象没有响应或中断的情况，应当立即停止测试工作，与客户方配合人员一起分析情况，在确定原因后，及时恢复系统，并采取必要的预防措施（比如调整测试策略）之后，确保对系统无影响，并经客户同意之后才可继续进行。