内部渗透测试 vs 外部渗透测试：你需要了解的要点

疏于管理的测试服务器和遗留系统往往脱离资产管理视野，成为攻击者的理想突破口。作者给出了资产发现、登记与归属认定的落地步骤。

渗透测试是在授权与约定范围内、限时进行的模拟攻击，伦理黑客像真实攻击者一样串联漏洞并提升权限，以证明可被利用的真实风险，而非罗列理论问题。文章引用 NIST SP 800-115 的定义，对比渗透测试与自动化扫描及真实攻击的差异，并说明交付成果、合规审计驱动与测试频率。

基于在金融、医疗、政府等行业完成的大量大型机评估，NetSPI 发布 2025 年平台安全现状报告，涵盖 MFA 部署增长、从 DES 向 AES 的密码体系现代化，以及依然普遍存在的配置短板。

NetSPI 发布 AI/ML 渗透测试方案，包含三块：面向 LLM 等模型的机器学习安全评估、模型周边基础设施安全评估，以及针对集成 LLM 功能的 Web 应用渗透测试，旨在识别对抗攻击与部署风险。

IPinfo 对隐藏身份（masked identities）流量趋势的研究：对比 VPN、代理、Tor 等 IP 伪装方式在 IPv4 与 IPv6 上的使用规模，探讨其对高风险 IP 段管理、黑白名单策略与云基础设施攻击面收敛的实践意义。

探讨为何 IoT 设备可能成为下一个重大安全风险——无论对员工个人生活还是企业网络。