正规黑客业务

简介

正规黑客业务指技术人员在客户书面授权的前提下，模拟攻击者的思路和方法，对指定的网络、系统或应用进行受控且非破坏性的安全检测。测试的资产范围、时间窗口、允许使用的手法与禁止行为，通常由双方在授权协议或授权函中逐项约定^[1]。授权范围之外的任何测试均不属于正规业务范畴，对范围外系统进行测试同样构成违法^[2]。

正规黑客业务区别于一般安全扫描，突出人工深度测试与业务逻辑验证。常规自动化扫描工具难以识别越权转账、交易篡改、支付链路绕过等业务层风险，需要由具备行业理解的人员开展针对性检测^[3]。在网络安全等级保护3.0等制度中，渗透测试已成为高等级系统测评的明确要求，服务提供方一般需持有相应资质，技术人员通常持有CISP-PTE、CISSP等专业认证^[4]。

沿革

黑客技术向合法安全服务转化的过程与互联网安全需求的增长同步。《中华人民共和国网络安全法》于2016年11月7日通过，自2017年6月1日起施行，该法第27条规定任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等活动，也不得提供专门用于此类活动的程序与工具^[5]。同法第63条对违反第27条的行为规定了没收违法所得、拘留和罚款等处罚，单位违法最高可处100万元罚款^[6]。

2019年发布的《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)标志着等保进入2.0阶段，渗透测试被纳入安全评估范畴，等保三级及以上系统明确要求开展渗透测试并提供报告^[7]。此后行业分工逐步细化，形成企业自建安全响应中心、第三方众测平台、独立安全研究机构等多元服务形态，测试流程与交付物也趋于标准化^[3]。

特点

首要特点是授权前置。书面授权被视作整项业务不可逾越的前提，协议需明确测试范围、测试时间、测试方法与免责条款，对范围外系统即使存在关联也不得测试^[2]。授权函一般包括授权主体、资产范围、时间窗口、允许的攻击手段、禁止行为清单、数据保护、应急通报与法律责任等必备条款^[1]。

其次是过程可控与留痕。第三方机构开展等保相关渗透测试时，通常遵循最小影响和非高峰期原则，测试时间尽量安排在夜间或法定节假日，并准备应急保障方案^[8]。交付阶段除漏洞清单外，还应包含漏洞原理、复现步骤、风险评级与修复建议，并提供复测服务以验证修复效果^[2]。

再次是资质与人员要求。金融等行业要求由认证白帽与审计单位共同参与，形成多方制衡机制，并通过全流量审计和双报告举证实现全过程可追溯^[3]。部分地区的地方标准将渗透测试服务纳入信息化全过程网络安全服务体系，并对渗透测评师的职责作出规定，包括对SQL注入、跨站脚本、越权操作等漏洞开展分析与报告^[9]。

最后是业务边界清晰。技术手法与普通攻击者相似，区别在于目的与授权状态：正规业务的目标是证明风险存在并协助加固，取得证据后即停止，不删除或修改业务数据，不保留无法清理的后门^[10]。工具使用上也强调在授权范围内进行，例如对Web应用防火墙规则的分析以评估误报率与策略合理性为目标^[11]。

参见

• 渗透测试 —— 正规黑客业务中最主要的服务形式，指在授权下模拟攻击以评估系统安全。

• 网络安全等级保护 —— 提出渗透测试要求的中国网络安全基础制度。

• 白帽黑客 —— 从事正规黑客业务的从业者通称。

• 网络安全法 —— 界定正规黑客业务法律边界的中国法律。

• 红队评估 —— 以攻击者视角检验企业整体防护能力的授权测试形式。

• 漏洞响应平台 —— 汇集漏洞报告与奖励机制的合规披露渠道。