安全性自纠自查，便是最重要的知心对策。以前提及过木桶原理、PDCA等，并沒有对其开

展否定，只是说来到他们在实战演练中在侧重点上的局限。这节必须注重，在“知心”层面，他们

依然很重要，也是实战演练工作上的一个关键构成部分。要是是时间容许，每人必备、資源容许

，不管在一切环节，尽可能开展安全自纠自查。依照GB/T20984中的具体指导规定，其应当包括

：IT系统整体规划环节、设计、执行环节、运作维护阶段、废料环节的项目生命周期。针对自纠

自查的规定、管理方法和技术性点，可参照ISO27001、等级保护测评、GB/T20984等。

 

 

非常要重中之重明确提出的是，对于实战演练互联网抵抗，还应在下列层面开展主要关心：
 

网站渗透测试：针对业务管理系统、APP（不但是iOS和安卓系统手机客户端，还要包含与服务

器端的插口）、微信公众平台、微信小程序等的技术性网站渗透测试，这里的渗透也应当包括领

域模型渗透和搜索高互动时显现出的系统漏洞，而不仅是实用性技术渗透；

 

白盒代码审计：如果有将会，针对关键的业务管理系统最好是开展白盒代码审计，由于这能够协

助核查到网站渗透测试无法发觉的系统漏洞。许多 网络攻击是借助各种各样方式（比如根据Git

Hub）寻找源码，并财务审计其0day系统漏洞给予运用和进攻的；

 

 

 

内部网数据漫游检测：对于内部网的全方位网站渗透测试，仿真模拟网络攻击取得成功进到机构

內部或内部网后，开展内部网数据漫游，以获得数最多、最大权限、最隐秘数据或某一特定总体

目标为目地的技术性检测，该检测应当也包括跨子网透过试着，包括针对互联网界限机器设备（

包含服务器防火墙、网闸等）的安全性和穿透力检测，针对工业自动化互联网也应当尽可能开展

协议书剖析和安全性检测（尤其是针对己知系统漏洞的检测，由于工业自动化互联网一般 缺乏

安全防护与升级对策，网络攻击将会仅运用成本费便宜的己知系统漏洞就可以进攻取得成功）；

物理攻击尝试：应用物理学方式，比如根据门禁系统缺点、WIFI缺点、办公场地缺点、工作人员

观念缺点等，试着开展进攻并获得隐秘数据；社交媒体进攻试着：应用社交媒体方式，比如电話

、手机微信、企业QQ、真实姓名找人、社工库等方法开展社会工程学进攻试着并获得比较敏感

信息内容或数据信息；渔叉与水坑攻击检测：运用渔叉进攻和水坑攻击等方式，对特定或全体人

员总体目标开展进攻试着，以明确在机构內部是不是存有因安全观念引起的极大安全隐患。