安全众测的四个“深坑”

 

尽管安全众测解决了传统式渗透检测的众多缺点，可是公司理应保持清醒地了解到，安全众测

并不是万能神油，乃至并不是渗透检测的取代计划方案。
 

今日的安全众测依然存有很多难题，在其中一些与运营模式遗传基因相关的天生难题尤其繁杂：

 

 

1、內部与外界检测

 

安全众测不适合这些必须在企业內部开展的检测。在基本渗透检测中，一名安全咨询顾问亲身

赶到客户需求的公司办公室，将笔记本连接公司就可以刚开始检测。在众测的状况下，它是不

太可能的，由于众测必须设定繁杂的VPN和/或代理商混和设定，而且互联网务必可以保持数十

个（乃至数以百计）高并发的检测负荷。这就是到迄今为止，大部分安全众测业务流程都聚集

在Web安全行业领域的根本原因，由于web网站安全测试可以从任何公开访问的地址去进行，

那么浏览成本和复杂程度都相对性较低。

 

 

针对物联网技术和智能产品机器设备，安全众测代表生产商必须向每一测试工程师都出示一个

商品（比如智能化家用跑步机），这将会会是一笔很大的支出，并且，假如测试工程师遍及全

世界，检测成本费还将再次飙涨。

 

 

2、资源池比较有限

 

在现如今国际性的安全优秀人才比较缺乏，主动进攻安全领域也遭到着专业技能紧缺的困惑。

安全众测尽管理论上能够运用全世界的安全优秀人才资料库，但具体运作中资料库也是有局

限性的。

 

 

当你能抽时间调研一下现阶段销售市场上好多个主流产品的安全众测服务平台，马上会发觉

一个“意外惊喜”——赏金榜单基本上让一小撮大神给占据了。
 

尽管安全众测服务平台的营销推广宣传策划材料会宣扬坐享全世界千余名顶尖安全权威专家，

但骨感美的实际是，现如今服务平台上发觉的大部分系统漏洞都被一个不超过二十名科学研究

工作人员圈子给垄断了。这就造成了資源难题，安全众测企业必须稳步增长，因而必须大量的

顾客，公布大量的渗透测试项目，而众测企业也必须持续提高的风投。服务平台越大，检测要

求越多，就必须大量的渗透测试工程师，但缺憾的是，渗透检测人力资源销售市场早已是个饱

和状态存量市场，全部能上场的参赛选手都早已在场中了。你没法逼迫大量灵活就业人员去报

名参加你的渗透测试项目，由于参加的人过多网络带宽早已不足用了。

 

 

3、众测渗透检测的成本费

 

虽然安全众测企业将成本费做为一个核心卖点，但从一切视角来考量，众测渗透检测都算不上

划算。今日，外界网站的渗透检测服务项目花费是新项目日数乘于咨询顾问的每天花费。我们

一起以每天顾问费1200美金，历时五天的传统式网站渗透测试项目为例，你需要付款的成本费

约6000美金。可是当你挑选安全众测，最后必须付款的服务平台花费将会会是该花费的许多倍

。此外，您还务必为发觉的每一系统漏洞努力奖赏，因而，发觉的系统漏洞越多，您努力去的

钱就越大，这代表您的成本费迅速马上会无法控制。

 

 

这儿有一个“成本费可控性”的例外必须留意：Synack（安全众测服务平台之一）只扣除服务平

台费，全部系统漏洞奖赏开支都由服务平台承担。但因为进到门坎很高，这类方式过滤掉了大

部分中小型企业。现阶段，联邦制是中小企业的唯一挑选。联邦制的服务平台成本费和系统漏

洞奖赏开支更低，尽管招标方公司会高兴，可是越来越少的收益对科学研究工作人员（尤其是

高质量科学研究工作人员）的诱惑力也会随着降低。

 

 

4、共享资源网络黑客经济发展？

 

尽管共享经济模式这个词被用烂了，可是安全众测实质上的确是共享经济模式，你能称作威客

网经济发展或是追溯其英文名字——GigEconomy。大家非常容易想到到一些大家广为人知的

共享经济模式比如Uber和Airbnb这类，相互特性全是针对性地（乃至是更为惨忍地）盘剥这些

放弃了传统式褔利和确保（比如退休养老金和病假工资）的灵活就业人员。可是，有一个重要

的差别：共享经济模式中的服务平台，比如共享资源出租司机，事实上是钟点工，要是出示

服务项目就可以得到与工作中时间配对的收益。但从业众测渗透检测的安全科学研究工作人员

，她们如同非洲草原上的猎豹，不管多么的辛苦，要是没有发觉系统漏洞也将“一无所获”。

实际上，大部分渗透测试工程师一天乃至数日都发觉不上一个系统漏洞，并且她们沒有养老保

险金。

 

 

值得一提的是，参加安全众测，你要必须自付选购全部专用工具，比如一部笔记本一部手机一

些工具。针对众测的安全企业来讲，这的确能够节约很多成本费，由于他们“合理”解决了渗透

检测服务中心所千辛万苦挣脱的运营模式难题，但负作用是对技术专业人力资本的严苛剥削。

 

最终，我们一起说句实在话，虽然传统式渗透检测和安全众测分别存有许多难题，但这二种方

式的确存有多样性。每名公司CISO都理应意识到，最佳实践和方式是本身探求出去的，并不

是（花钱）砸出去的，因为渗透测试检测的内容非常多，建议找专业的网站安全公司来处理解

决国内如SINESAFE，鹰盾安全，绿盟，山石科技都是比较专业的安全渗透测试公司。