很多人听到“渗透测试”，第一反应是影视剧里的黑客攻击。其实在企业安全体系里，渗透测试是一种在授权范围内模拟攻击、主动发现系统薄弱点的技术服务。CCRC 体系下的 CISAW 渗透测试方向（CISAW-LPT），就是围绕这套能力建立的人员评价项目。

一、CISAW-LPT 在学什么

CISAW 是“信息安全保障人员认证”的简称，渗透测试方向侧重实战能力：

• 渗透测试流程与前期交互

• 信息收集、资产梳理

• Web 常见漏洞（SQL 注入、XSS、文件上传、命令执行等）识别与验证

• 中间件、内网基础场景排查

• 测试报告编写与修复建议输出

它不教“怎么攻破系统”，而是教怎么在合规边界内找问题，并帮业务方补洞。

二、适合哪类人了解或进修

• 做安全运维、漏洞扫描、等保测评辅助工作的工程师

• 高校网络信息安全相关专业学生

• 想从开发、运维转安全方向的从业者

• 企业内需懂攻击视角的防御人员

认证分基础级、专业级、专业高级，主要看学历与对应方向工作年限，不属于准入类强制证书，更偏“能力佐证”。

三、学完能做什么

真实工作中，渗透测试工程师的核心产出不是“拿下权限”，而是一份带风险等级、复现步骤、修复方案的报告。常见场景：

• 新系统上线前安全自查

• 定期安全评估

• 红蓝对抗中的攻击侧演练

• 给开发团队反向推送安全编码规范

• CISAW信息安全保障人员SI 安全集成，CISAW SS 安全软件， CISAW PIS个人信息安全，CISAW ICS 工控信息安全，CISAW ES 应急服务，CISAW OM 安全运维，CISAW RM 风险管理 CISAW LPT 渗透测试 工控网络安全 电子数据取证，网络情报分析CCIA，北斗应用安全,灾难备份与恢复等方向认证马老师： 133 - 9150 – 9126 /丁老师：135-2209-4648

• 

• 

• 

• 

• 

四、合规底线比技术更重要

所有测试必须满足：书面授权、范围限定、数据保密、最小影响。没授权就扫站，性质立刻从“安全测试”变成“非法侵入”。

小结：CISAW-LPT 的价值，是把零散的挖洞兴趣，整理成一套可复用的方法论。对想走安全测评路线的人，它是一个体系化抓手；对企业，它是人员能力可视化的参考维度之一。