實戰攻防演練屬于什么類型的滲透測試

實戰攻防演練不屬于滲透測試的一種，攻防演練和滲透測試是有區別的，實戰攻防演練和滲透測試區別是一個是模擬，一個是實戰。攻防演練能挖掘出滲透測試中所沒注意到風險點，并且能持續對抗，不斷提升企業系統的安全防御能力，滲透測試，是通過模擬黑客攻擊行為，評估企業網絡資產的狀況。通過滲透測試，企業及機構可以了解自身全部的網絡資產狀態，可以從攻擊角度發現系統存在的隱性安全漏洞和網絡風險。

實戰攻防演練有以下突出價值：

• 檢驗和提高應網絡安全應急響應能力

  通過網絡攻防演習檢驗各部門遭遇網絡攻擊時發現和協同處置安全風險的能力，對完善網絡安全應急響應機制與提高技術防護能力具有重要意義。《網絡安全法》和《國家網絡安全事件應急預案》要求，按照“統一指揮、分級負責、密切協同、快速反應”的原則開展網絡安全應急聯動、協同處置工作。國內外開展的網絡攻防演練均涉及政府機構、企事業等多家單位，通過安全演練強化政企、軍民之間的聯動防御能力。通過攻防演練發現安全漏洞與風險，找到網絡安全防護的短板，檢驗網絡安全風險通報機制、網絡威脅情報共享機制以及應急響應方案的合理性，并在演練后總結優化。

• 培養和提升網絡安全人才實戰能力

  2011年，美國土安全部和人力資源辦公室共同提出《網絡安全人才隊伍框架（草案）》。歷經7年討論修改，2017年8月，美國標準與技術研究所（NIST）正式公布為《NICE網絡安全人才框架》，明確網絡安全專業領域的定義、任務及人員應具備的“知識、技能、能力”，對專業化人才隊伍建設具有積極的指導作用。我國發布的《關于加強網絡安全學科建設和人才培養的意見》明確要求創新網絡安全人才培養機制，突出安全技能的綜合培養。實戰能力和技術水平是網絡安全人才的核心能力，面向真實系統開展網絡攻防演練，與在規模、復雜度、網絡狀態都是仿真靶場的情況無法比擬，能更好鍛煉實戰能力，選拔人才。

• 有效強化網絡安全風險意識

  沒有意識到風險是最大的風險。當前，網絡安全意識教育，存在國家和網絡安全廠商“一頭熱”的情況，企事業單位和個人安全意識落后，且存在“狼來了”的情況，認為自身網絡系統沒有重要信息，被攻擊的可能性不大，技術人員安全意識不強，忽視基本的網絡防護。每次攻防演練都有高危漏洞被發現和重要目標系統被攻破，體驗和感受網絡被攻破的后果是效果最好的網絡安全意識教育，有助于各領域管理和技術人員發現網絡安全威脅，了解網絡攻擊帶來的巨大危害，更能增強對網絡風險認知的直觀性和緊迫性。