渗透测试概述
渗透测试 (penetration test)并没有一个标准的定义，国外一些安全组织达成共识的通用说法是：渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。
假设某公司的运维怀疑公司信息系统存在安全隐患，但是由于不具备专业安全攻防的能力，具体存在哪些隐患并不清楚。这时就可以委托安全公司对本公司信息系统进行渗透测试。换句话说，进行渗透测试的团队会把自己模拟成黑客，来对目标信息系统进行各种形式的攻击（当然，这种攻击行为是合法的，因为提前获得了被攻击方的授权），最后把攻击的过程和发现的漏洞，以及漏洞修复方案提交给客户，让客户可以完善自己信息系统的安全性。
在信息安全的知识体系中，渗透测试是占比例最高的一个部分，也是对个人技术能力和领悟能力要求最高的一个部分。渗透测试的过程中不能仅仅只靠学到的固定的攻击方式来进行测试，还需要测试工程师能够根据不同的目标环境，进行各种常规或非常规的方法来尝试；攻击对象和攻击切入点也可能不仅仅是计算机系统，甚至可能是直接从计算机的使用者来进行切入（社会工程学）。
2017年重大网络安全事件回顾
1、中国战队问鼎全球——Pwn2Own360代表中国队夺冠
3月18日，在Pwn2Own2017世界黑客大赛上，来自中国的360安全战队以总积分63分排名Pwn2Own官方积分榜榜首，成功加冕“Master of Pwn”（世界破解大师）总冠军，代表中国在网络攻防最高水平的对决中登上世界之巅。
Pwn2Own由美国五角大楼网络安全服务商ZDI主办，今年是历届以来比赛项目最多、奖金最高、参赛团队规模最庞大的一次，共有来自美国、德国和中国的11支团队参加。
在本届大赛上，360安全战队成功实现了对苹果MacOS、Safari、Adobe Reader、Adobe Flash和微软Windows10五大项目的破解。当比赛进入最后一天，360安全战队选择挑战被称为“史上最高难度”的连环破解项目，远程攻破Edge拿下Win10系统权限，并突破VMware虚拟机成功逃逸，创下Pwn2Own单项积分27分的历史最高记录，牢牢占据积分榜首并提前锁定冠军。
2、勒索风暴肆虐全球——Wannacry勒索病毒中国众多高校受影响
2017年5月12日，WannaCry勒索病毒事件全球爆发，以类似于蠕虫病毒的方式传播，攻击主机并加密主机上存储的文件，然后要求以比特币的形式支付赎金。
WannaCry爆发后，至少150个国家、30万名用户中招，造成损失达80亿美元，已经影响到金融，能源，医疗等众多行业，造成严重的危机管理问题。中国部分Windows操作系统用户遭受感染，校园网用户首当其冲，受害严重，大量实验室数据和毕业设计被锁定加密。部分大型企业的应用系统和数据库文件被加密后，无法正常工作，影响巨大。
360在当时NSA“永恒之蓝”黑客武器泄露的第一时间就推送了修复补丁，紧接着又紧急发布了NSA武器库免疫工具，在WannaCry爆发后还全球首发勒索病毒文件恢复工具和自救教程。据统计，在此次席卷全球的勒索风暴中，安装360安全卫士的用户无一中招。
3、网络安全有法可依——《网络安全法》正式实施
我国首部网络安全方面的基本法——《网络安全法》于6月1日正式实施，在保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展方面具有重要意义。
2018年重大网络安全事件回顾
2018 年的网络安全界可以说是「百花齐放」，新型态攻击手段不断出现，恶意程式、勒索软件、漏洞、资料外泄事件等日日拼上头条，看到人眼花了乱，为此特选十大「年度之最」！
《最佳坚持奖》：Facebook
从年头剑桥分析事件一直漏到年尾的 Facebook，一年泄漏过亿用户资料，这份坚持到底的毅力和傲人的成绩大家有目共睹！ 《最坚持泄漏奖》非他莫属！
《资料外泄最大获奖》：万豪酒店
今年边单资料外泄案最劲？万豪认第二没人敢认第一！黑客足足潜伏了 4 年先被发现，最终 5 亿用户资料被盗取，还包括好重要的信用卡资料。成功击败国泰、Exactis 同 Under Armour 等一众劲敌成为最大的资料外泄事件，恭喜恭喜！
《年度最强勒索软件》：GandCrab
今年 1 月起家的勒索软件 GandCrab 凭住强大的传播能力，至今已将家族发展到 5.1.6 版本。其解密软件也成为最多人下载的勒索软件解密工具。据悉，GandCrab 背后黑客今年狂赚 70 万美元。能够夺得 2018 年最强勒索软件的荣誉，绝对实至名归！
《最佳硬件漏洞奖》：Intel CPU
硬件方面的奖项最终由年初就大热的Intel「芯片门」获得，这个漏洞可致攻击者直接访问kernel memory的数据，包括帐号密码。由于全球90%的服务器都采用Intel CPU，该漏洞的影响范围非常广，从三大操作系统Windows、macOS、Linux到Google、Amazon等云端服务器都中招。「最佳硬件漏洞」之名，Intel CPU当之无愧。
《年度漏洞王》：Microsoft
根据网站 CVE Details，截止到 12 月 24 日，2018 年总共发现 16299 个漏洞，比去年足足多了 2000 几个。成绩一向优秀的Microsoft 今年都没令人失望，贡献了6107 个漏洞，成功打败其他大热选手Oracle (5511)、Apple (4274) 及Google (3874)，而呼声较高的Adobe 今年的表现就欠佳，只有2857 个漏洞。
《损失最惨重奖》：台积电
8月2日，全球芯片领导厂商台积电TSMC被Wannacry入侵，病毒快速扩散至三大生产基地，生产线全数滞停，导致台积电两日损失87亿新台币（约22亿港币），最可怜奖毫无悬念是属于台积电的！
《年度最强政府系统》：印度Aadhaar
今年年初，印度国家身份认证系统Aadhaar被黑客入侵，数据被明码标价出售。作为世界上最庞大最复杂的生物识别系统，事故泄漏共11亿人的生物识别数据，包括指纹、虹膜及全球独一无二的身份证明编码。令全地球七分一人口的重要数据外泄，Aadhaar还不是地上最强？
《最具潜力新人奖》：AI攻击
2018年AI新闻铺天盖地，随着人工智能变得更主流，AI也成为网络罪犯的武器。2018年就涌现多个新型AI攻击手法，例如IBM今年研究的DeepLocker。人工智能可塑性强，方方面面都适用，实力绝对不容小觑。
《年度最串 APT》：俄罗斯
讲到 APT，这么少得了战斗民族俄罗斯，今年美国终于忍不住公开指认俄罗斯黑客。美国国土安全部 DHS 和联邦调查局 FBI 于今年三月发布联合声明，列出俄罗斯政府从 2016 年开始对美国进行的网络攻击，范围包括能源、核设施、航空系统等多个基础设施。本次是美国首次公开确认遭受国外政府支持的网络攻击，由俄罗斯夺得这个奖项，确实不足为怪。
《年度最强钓鱼攻击》：伊朗黑客
10 名伊朗黑客在 3 月入侵美国、澳洲、英国、加拿大等 320 间大学，盗取价值 34 亿美元的 31TB 资料。黑客冒充其他大学教授向受害者发送钓鱼电邮，声称对受害者的研究成果感兴趣，并附上虚假网站连结。用户点击后输入用户名密码，个人资料随之被窃取。一封电邮就致 34 亿美元损失？这封钓鱼电邮无庸置疑成为终极大赢家。