不属于渗透测试的不属是什么盒

一个客户把U盘插进公司电脑，第二天整个财务部瘫痪。于渗老板拍着桌子问我：“这不是透测你们渗透测试该管的事吗？”我盯着屏幕上弹出的勒索提示，摇头。试的什盒U盘是不属行政部新来的小姑娘在楼下捡的，上面印着“工资明细”四个字。于渗这活儿，透测真不归渗透测试管。试的什盒

渗透测试干的不属是“主动进攻”。你授权我，于渗我模拟黑客，透测翻墙、试的什盒扫端口、不属试弱口令，于渗找出系统漏洞，透测写报告。但U盘落地、钓鱼邮件、假装维修工混进机房，这些叫社工，叫物理安全，叫人的问题。工具不同，思路两样。渗透测试手里是Burp Suite、Nmap、Metasploit，社工靠的是话术、演技和一张假工牌。你让一个搞SQL注入的去骗前台小姐姐开门，他大概率红着脸站在门口半天憋不出一句“我是来修空调的”。

还有种东西叫“红队演习”，听起来跟渗透测试像亲兄弟，其实差着辈分。红队可以放火、可以拆墙、可以半夜翻垃圾桶找撕碎的便签，目标是“不择手段突破防线”。渗透测试有边界，合同里写着“仅限测试以下IP段”，越界一步就是违法。红队更野，但人家有更高层级的授权，甚至法务部提前打过招呼。你把红队的招数套在渗透测试上，第二天警察叔叔就请你喝茶。

更常见的误会是“等保测评”。客户拿着测评报告问我：“这上面写的漏洞，你们为什么不直接帮我们修了？”我哭笑不得。等保测评是拿尺子量，量完告诉你“你这门锁不符合国家标准，建议换C级锁芯”。渗透测试是拿锤子砸，砸开了告诉你“你家的锁用回形针就能捅开，建议装指纹锁”。前者是合规检查，后者是实战检验。你让测评机构顺手帮你加固系统，人家得先问问自己有没有那个资质和胆量——毕竟测评机构的中立性比命还重要。

最冤的是“安全运维”。某次应急响应，客户半夜三点打电话：“服务器被黑了，你们渗透测试不是会找漏洞吗？赶紧来！”我到了现场，发现是管理员把密码贴在显示器边上，隔壁工位的人顺手登上去删了数据库。这哪是漏洞？这是管理流程烂到根了。渗透测试能告诉你“密码复杂度不够”，但管不住有人把密码写在便利贴上。安全运维是日常巡逻、补丁管理、日志监控，渗透测试是每年一次的大扫除。你让大扫除的人天天住你家帮你收拾屋子？人家没那功夫，也没那义务。

说回那个U盘。后来我们帮客户查了监控，发现小姑娘捡到U盘后还插在自己电脑上先打开看了几眼——那里头有伪装成Excel的宏病毒。这事要真较真儿，得归“安全意识培训”管。可惜大多数公司宁可花二十万请人做渗透测试，也不肯花两千块给员工上堂课。人总是这样，愿意为看得见的“攻击”买单，却对看不见的“疏忽”装瞎。

所以下次再有人问你“这盒是不是归你管”，先分清楚：盒子里装的是技术漏洞，还是人性的漏洞。前者你扛着工具上，后者你只能递过去一面镜子。