指南 · 约 3 分钟阅读
响应头检查、扫描器还是渗透测试？
简短回答：免费的响应头检查工具只告诉你几个 HTTP 响应头是否已设置；自动化网站扫描器（如 HackGrade）会检查 HTTPS、响应头、邮件记录和 CMS 组件中许多从外部可见的问题，并可按计划重复检查；人工渗透测试由测试人员寻找工具发现不了的逻辑和访问控制缺陷。大多数小企业应先从扫描器开始，在风险或标准有要求时再增加渗透测试。
| 响应头检查工具 | 网站安全扫描器 | 渗透测试 | |
|---|---|---|---|
| 检查内容 | 单个网址的 HTTP 响应头 | HTTPS/TLS、响应头、Cookie、DNS 邮件记录、CMS 和插件版本、暴露的文件；经许可后进行更深入的测试 | 测试范围内的一切，包括业务逻辑和需要登录的区域 |
| 由谁执行 | 你自己，在浏览器中 | 自动，按需或定时 | 人工安全测试人员 |
| 耗时 | 几秒 | 几秒（被动）到几分钟（深度） | 几天到几周 |
| 修复指导 | 通常很简短 | 因工具而异；HackGrade 提供分步修复方法 | 书面报告 |
| 重复性 | 手动 | 可以持续监控 | 某一时间点 |
| 费用 | 通常免费 | 从免费版到按月付费 | 按项目报价，差异很大 |
什么时候响应头检查工具就够了
当你刚修改了服务器或 CDN 设置，想确认某个响应头已经生效时。它不会告诉你证书、邮件冒充或过时软件方面的情况。
什么时候扫描器是合适的工具
对大多数小企业网站而言：它覆盖了自动化攻击真正会找的问题，并按优先级排序，还可以每周重新运行，让你在证书快到期或插件出现新漏洞时及时发现。HackGrade 的免费扫描是被动的；更深入的测试只为接受扫描授权协议的已验证所有者运行。
什么时候需要渗透测试
- 你处理敏感数据或大量支付，或者合同或标准有要求（例如 PCI DSS 第 11.4 条要求）。
- 你运营的是带有账户、角色或复杂业务规则的定制 Web 应用。
- 你希望由人来尝试把多个小问题串联成真正的攻击。
任何远程工具都看不到的东西
以上工具都无法替代更新、备份、两步验证和良好的密码。远程工具看不到你服务器上的文件或主机账户。参见小企业网站安全清单。
常见问题
HackGrade 是渗透测试吗？
不是。HackGrade 是自动化扫描器。它的深度扫描会对已验证的域名运行主动测试，但在业务逻辑测试或合同要求的渗透测试方面，它不能替代人工测试人员。
扫描器和渗透测试能发现相同的问题吗？
在常见、可见的问题上两者有重叠。扫描器更快、可重复；测试人员能发现逻辑缺陷和攻击链。
应该先做哪一个？
先运行扫描器，修复它发现的问题。当容易的问题都解决后，渗透测试才更物有所值。