7.1　測試結果分析

測試結果分析的主要目標是確定和排除誤報，對漏洞進行分類，并確定產生漏洞的原因，此外，應找出在整個測試中，需要立即處理的嚴重漏洞。以下列舉了常見的造成漏洞的根本原因，包括：

a) 補丁管理不足，如未能及時的應用補丁程序，或未能將補丁程序應用到所有有漏洞的系統中；

b) 威脅管理不足，如未及時更新防病毒特征庫，無效的垃圾郵件過濾以及不符合系統運營單位安全策略的防火墻策略等；

c) 缺乏安全基準，同類的系統使用了不一致的安全配置策略；

d) 在系統開發中缺乏對安全性的整合，如系統開發不滿足安全要求，甚至未考慮安全要求或系統應用程序代碼中存在漏洞；

e) 安全體系結構存在缺陷，如安全技術未能有效地集成至系統中（例如，安全防護設施、設備放置位置不合理，覆蓋面不足，或采用過時的技術）；

f) 安全事件響應措施不足，如對滲透測試活動反應遲鈍；

g) 對最終用戶（例如，對社會工程學、釣魚攻擊等缺乏防范意識，使用了非授權無線接入點）或對網絡、系統管理員（例如，缺乏安全運維）的人員培訓不足；

h) 缺乏安全策略或未執行安全策略，如開放的端口，啟動的服務，不安全的協議，非授權主機以及弱口令等。