漏洞扫描与渗透测试｜CISSP核心考点

不能，误报须人工核实。

必须事先书面授权，否则可能违法。

考点精讲

漏洞扫描（Vulnerability Scanning）用自动化工具对照漏洞库（如 CVE）检测系统已知漏洞，速度快、周期性强、成本低，但会产生误报（False Positive，报告了实际不存在的漏洞）与漏报，且只识别「已知」漏洞、无法验证漏洞是否真的可被利用。渗透测试（Penetration Testing）由授权安全人员模拟攻击者的思路，主动尝试利用漏洞，能验证真实可利用性与危害程度，结果更可信，但耗时、成本高、对执行者技能要求高，且必须事先获得书面授权以划定测试范围与合规边界。两者互补：扫描做常规体检、渗透做深度验证，常先扫描缩小范围、再针对关键目标渗透。

记「扫描像体检拍片、渗透像实战演练」——扫描自动化「扫一遍找毛病」，渗透「真刀真枪打进去看能不能破」。
记本质区别：扫描只「发现」漏洞，渗透「验证」漏洞可否被利用。
记易错点：扫描会误报（报告不存在的漏洞），须人工核实。

【示例】 【示例】常考「漏洞扫描与渗透测试的区别」「误报/漏报的含义」或「谁适合周期性高频执行」。参考 Practice Tests 第 6 章（Domain 6）。

Q：扫描和渗透的频率如何安排？

A：扫描可高频自动化（如每月），渗透通常周期更长（如每年或重大变更后）。

Q：漏报和误报哪个更危险？

A：漏报（漏掉真实漏洞）危害更大，因为带来虚假安全感。

Q：漏洞扫描就是渗透测试吗？

A：不是，扫描只发现、不利用，无法证明漏洞可被攻破。

Q：扫描结果能直接当「已被攻破」吗？

A：不能，误报须人工核实。

Q：渗透测试需要授权吗？

A：必须事先书面授权，否则可能违法。