还有渗透测试标准

MSDN上有一个很好的资源。您是否有机会在 MSDN 杂志中阅读到有关此主题的信息？

好吧，这里的链接可能有助于定义您的外观：

• 渗透测试
• 漏洞评估和渗透测试计划模板

NIST 800-53A和NIST 800-115 这不是严格的测试计划，而是测试计划元素的目录。如果您使用的是政府系统，那是安全控制的测试标准列表。如果您正在开发一个商业系统，它是一个资源目录。

测试计划的另一个资源是SANS 关键 20 安全控制；我个人认为这是合理的，但被夸大了。

艾布拉姆斯似乎就是一个例子。您可以通过在 Google 上搜索安全测试和评估计划来找到更多信息。

然而，最终，我认为他们都错过了目标。现代安全测试计划应该在风险的基础上进行。在我看来，您应该进行风险评估，确定前 N 个风险，然后制定标准项目计划以在可用资源（$$、时间、专业知识等）内测试/验证这些风险。

标准/政策、风险评估和威胁建模应推出一系列关键风险和控制措施以减轻风险。这些包括什么将取决于交付的内容。

测试计划应该从根本上证明这些控制。渗透/漏洞测试只是其中的一部分。其他方面可能是代码/构建/配置审查、确保预期功能存在的功能测试方面、第 3 方保证和标准合规性。