定期渗透

去年冬天，定期渗透我在一个做企业安全的定期渗透朋友那里看到一份渗透测试报告，封面上印着"第14次常规检测"。定期渗透翻到最后一页，定期渗透攻击路径图几乎和前13次一模一样——还是定期渗透那个没打补丁的OA系统，还是定期渗透那台密码为admin123的测试服务器。区别只有日期。定期渗透

这让我想起一个词：定期渗透。定期渗透很多公司把它当成体检，定期渗透每年做一次，定期渗透拿到报告，定期渗透修几个高危漏洞，定期渗透然后继续过日子。定期渗透问题是定期渗透，攻击者不按你的定期渗透日历上班。

渗透测试正在变成一种仪式

我见过一家金融公司，每年花几十万请顶级团队做渗透，报告厚得像字典。但他们的运维团队私下告诉我，测试前一周大家就开始"准备"——临时关掉一些服务，把弱口令改掉，甚至把测试环境下线。等测试结束，一切恢复原样。这哪是渗透测试，这是迎检。

真正的渗透不该有"准备期"。攻击者不会提前通知你。你周五下午随手搭的那个临时接口，周一早上可能就成了入口。定期渗透如果变成了定期表演，那还不如不做——至少省下的钱可以买点实在的安全设备。

频率是个伪命题

有人问，那多久做一次合适？季度？月度？我觉得这个问题本身就问错了。渗透测试的价值不在频率，在于它是否模拟了真实的攻击节奏。一个持续一周的深度渗透，可能比四次走过场的季度测试更有用。

我认识一个独立安全研究员，他给客户做渗透的方式很特别：不限定时间，不提前通知，拿到授权后就像影子一样跟着客户的业务节奏走。客户上线新功能，他当天就测；客户改架构，他第二天就试。这种"跟随式渗透"听起来累，但发现的漏洞质量完全不一样——因为攻击面在变，测试也得跟着变。

别让报告变成安慰剂

渗透报告最容易骗人。一个"高危漏洞已修复"的结论，可能只是把SQL注入点从?id=1换成了?id=2。我见过最离谱的一份报告，修复建议写着"建议修改密码"，但没说要改哪些密码、改成什么强度、多久改一次。这种报告除了让管理层安心，没有任何实际作用。

好的渗透报告应该让读的人睡不着觉。它得说清楚：攻击者从哪进来，拿了什么权限，能碰到哪些数据，如果这是真实攻击，你现在已经损失了什么。而不是列一堆CVSS评分，然后建议"加强安全意识培训"。

定期渗透本身没错。错的是把它当成一个可以勾选的合规项。攻击者每天都在渗透，你的防御和检测也得是持续的。否则，第14次报告和第1次没什么区别，只是又浪费了一年。