渗透测试（Penetration Testing）是指通过模拟攻击的手段，评估计算机系统、网络和应用程序的安全性。它主要通过发现系统中存在的漏洞和弱点，以及评估系统的防御能力，从而有效地提高系统的安全性。在进行渗透测试之前，要遵循一定的流程和标准，以确保测试的有效性和合规性。下面将介绍渗透测试流程遵循的两个标准。
第一个标准是OSSTMM（Open Source Security Testing Methodology Manual），即开放源代码安全测试方法论手册。OSSTMM是一个开放的、自愿参与的项目，旨在为渗透测试提供一种结构化和系统化的方法。OSSTMM包含了渗透测试过程的各个环节，并提供详细的指导和技术要求。该标准强调了渗透测试的独立性和客观性，要求测试人员基于证据和事实进行评估，而不是主观推测或猜测。此外，OSSTMM还强调了测试的可重复性和可验证性，要求测试人员记录所有的活动和结果，并提供详细的报告。
第二个标准是NIST SP 800-115，即美国国家标准与技术研究院发布的《信息系统渗透测试指南》。该指南提供了一种结构化的方法来规划和执行渗透测试活动。它包括了渗透测试的各个阶段，如需求分析、目标确定、漏洞探测、漏洞利用和报告编写等。NIST SP 800-115强调了测试的合规性和法律责任，要求测试人员遵守相关法律法规，并获得系统所有者的明确授权。此外，该标准还强调了测试人员的专业素养和技术能力，要求他们具备良好的道德品质和高水平的技术知识。
综上所述，渗透测试流程遵循的两个标准分别是OSSTMM和NIST SP 800-115。这些标准为渗透测试提供了一种结构化和系统化的方法，确保测试的有效性和合规性。通过遵循这些标准，测试人员能够更好地发现系统中的漏洞和弱点，并评估系统的防御能力，进而提高系统的安全性。
