渗透评分

去年冬天，渗透评分我在一个做企业安全的渗透评分朋友那里看到一份内部评估表。表格里列了二十多项指标，渗透评分每项后面跟着分数，渗透评分最后加权算出一个总分。渗透评分他管这个叫“渗透评分”。渗透评分不是渗透评分给系统打分，是渗透评分给人打分——给那些试图渗透进公司的人打分。

听起来有点反直觉。渗透评分我们习惯把注意力放在防火墙、渗透评分入侵检测、渗透评分漏洞扫描上，渗透评分但真正让一家公司栽跟头的渗透评分，往往不是渗透评分技术缺口，而是渗透评分某个员工在茶水间里多说了几句话，或者某个前台在电话里被绕晕了头。渗透评分就是把这层窗户纸捅破，把“人”这个变量量化出来。

我翻过那份表格。里面有一项叫“信息泄露倾向”，满分十分。评分标准很细：在社交场合主动提及内部项目名称的，扣两分；对陌生来电不核实身份就转接的，扣三分；把工牌随意放在工位上去买咖啡的，扣一分。还有个反向加分项：主动质疑异常请求并上报的，加两分。朋友说，他们给全公司三百多人算了分，结果分布很有意思——技术部门平均分最低，行政和销售部门反而偏高。

“技术的人太自信了。”他点了根烟，“觉得自己懂，不会被骗。但社会工程学攻击根本不跟你拼技术，它拼的是人性。一个程序员可能花半小时去分析一封钓鱼邮件的源码，然后得意洋洋地跟同事说‘这做得太假了’。但销售接到一个冒充客户的电话，急着成单，三分钟就把报价单发出去了。”

这让我想起另一个案例。某家做芯片设计的公司，被竞争对手摸清了研发进度。查了三个月，最后发现源头是一个工程师在技术论坛上回答问题时，无意中暴露了项目代号和大致时间节点。他没有恶意，甚至觉得自己在“技术交流”。但渗透评分表里，这种行为被归为“高价值信息无意泄露”，扣分很重。

评分表还有个维度叫“抗压阈值”。测试方法很直接：安排一个陌生号码在周五下午五点打电话，自称是总部IT，要求远程协助处理紧急故障。接电话的人如果直接配合，得零分；如果要求对方提供工单号或回拨验证，得满分。朋友说，周五下午五点这个时间点是精心选的——人最疲惫、最想赶紧解决问题回家的时候，防线最松。他们测过一轮，配合率高达百分之六十七。

我问他，这种评分会不会太苛刻了。他摇头：“苛刻？真出事的时候，没人跟你讲情面。一个泄露的报价单可能让公司丢一个千万级的单子，一个转接的电话可能让攻击者直接摸到核心机房。渗透评分不是要抓谁的责任，是要让每个人知道，你的日常习惯在别人眼里值多少分。”

后来我自己试着按那个框架给自己打了个分。结果不太好看。我有过在咖啡厅大声讨论项目细节的时候，也有过收到“领导”微信让发文件就顺手发过去的时候。那些时刻，我根本没意识到自己在被“评分”。

渗透评分这件事，说到底是在提醒一件事：安全不是一道墙，是一张网。墙可以被绕过，但网上的每一个节点都得有张力。评分只是把张力可视化。至于要不要去测、测完要不要改，那是另一回事。但至少，当你知道自己可能只值六十分的时候，下次接陌生电话，手会慢一点。