微软365安全审计和渗透测试有什么区别？保险公司、审计师和董事会到底要哪一个

一句话版本： 微软365安全审计是对照公开基准检查租户的配置，并告诉你先修什么；渗透测试是由测试人员实际尝试入侵，证明攻击者能走多远。网络保险问卷大多问的是配置（MFA、管理员账号、邮件安全、日志），审计正好能回答；部分审计师和合规框架会点名要求渗透测试；董事会通常两者都要，而且顺序是先把配置修好，再做测试验证。

迟早会有 IT 团队以外的人要求你提供"安全测试"：可能是网络保险续保表格、客户的供应商安全问卷、外部审计师，也可能是看到新闻的董事。这类要求很少说明是哪一种测试。最常见的两个答案——微软365安全审计和渗透测试——其实是两种不同的服务，产出的证据也不同。

本文从买方角度比较两者：各自检查什么、提出要求的人通常是什么意思，以及怎样安排先后，避免花钱请人渗透测试，结果只是重新发现审计本来就能列出的配置问题。如果你想了解持续漏洞扫描和补丁管理的全貌，可以先读我们的漏洞管理与渗透测试对比指南；本文只讨论 Microsoft 365 租户。

微软365安全审计到底检查什么？

微软365安全审计是一次配置审查。Microsoft 365 里面没有属于你的服务器可以扫描，所以审查范围就是租户的各项设置，以及谁能接触到哪些数据。规范的审计会逐条对照公开基准（通常是 CIS Microsoft 365 Foundations Benchmark），对每一项控制记录是否达标并附上证据。

实际上主要覆盖三个领域：

• Entra ID 身份： 每个用户的 MFA 覆盖情况（包括服务账号和应急账号）、条件访问策略及其排除项、特权角色、旧式身份验证、第三方应用授权，以及来宾账号。
• Exchange Online 与 Defender for Office 365： 每个域名的 SPF、DKIM、DMARC，外部自动转发和收件箱规则，反钓鱼和安全链接策略，邮箱审计和审计日志保留期。
• SharePoint、OneDrive、Teams 与数据： 外部共享和"任何人"链接、敏感度标签和保留策略、Teams 外部访问，以及能打开公司文件的个人设备。

交付物是一份按严重程度分级的发现清单、每项发现背后的证据，以及按优先级排列的修复计划。它的设计用途是在你回答问卷时作为证据使用，本身并不认证任何东西。我们的微软365审计样例报告（英文）用一家虚构客户展示了完整格式。

审计不会做的是发起攻击。它可以告诉你有若干账号没有注册 MFA，但不会尝试用其中某个账号登录。

针对 Microsoft 365 的渗透测试包括什么？

渗透测试是经过授权、有时间限制的入侵尝试，测试人员会记录每一步成功的路径。对大多数中小企业来说，"渗透测试"通常针对互联网暴露面、内部网络或某个 Web 应用。我们的渗透测试服务列出了常见类型：外部、内部、Web 应用和社会工程。

Microsoft 365 比较特殊，因为平台不是你的。微软发布了《Microsoft Cloud 统一渗透测试规则》（Microsoft Cloud Unified Penetration Testing Rules of Engagement），适用于包括 Microsoft 365 在内的微软云服务。测试只能在你自己的租户和获授权的账号范围内进行，禁止拒绝服务测试，也禁止针对其他客户。所以，涉及 Microsoft 365 的渗透测试，本质上测的是你的身份体系、配置和员工：测试人员能否拿到有效凭据、MFA 能否挡住他们、被钓鱼的会话能否读取邮件和文件、低权限账号能否提权。

这很有价值，但请留意其中有多少取决于配置。如果审计会发现旧式身份验证仍然开启，或者管理员没有使用防钓鱼的 MFA，测试人员也会发现同样的问题——你只是花了更多的钱、走了更慢的路，得到一个本可以先修好的发现。

安全审计、渗透测试、漏洞扫描一览

三者对比

• 回答的问题： 审计问"租户是否按基准建议配置"；渗透测试问"有人真的能进来吗，能走多远"；漏洞扫描问"这些系统目前暴露了哪些已知弱点"。
• 方法： 审计是只读地检查设置和日志；渗透测试是在约定规则内的授权攻击；扫描是自动化、可重复的。
• 在 Microsoft 365 中的范围： 审计覆盖租户内所有工作负载；渗透测试在微软规则内覆盖你的身份、配置和人员；网络漏洞扫描根本不会看 Microsoft 365 内部。
• 典型交付物： 审计给出分级发现清单、证据和修复计划；渗透测试给出攻击过程叙述及每一步的证明；扫描给出按严重程度排列的漏洞列表。
• 最适合作为哪类证据： 审计适合保险问卷和配置类问题；渗透测试适合明确点名要求渗透测试的框架或合同；扫描适合服务器和终端的日常卫生。
• 多久会过时： 三者都只代表某个时间点；审计和扫描重复做的成本低，渗透测试则高一些。

网络保险公司通常在问什么？

请逐字阅读续保表格。大多数网络保险投保问卷问的是控制措施：邮件和远程访问是否强制 MFA、管理员账号是否独立并受保护、旧式身份验证是否已阻止、备份是否定期执行并测试过、日志保留多久。这些都是配置问题，微软365审计会对每一项给出带日期的答案。我们的文章用 Microsoft 365 证据回答网络保险问卷逐条讲解了常见问题。

如果表格问"过去 12 个月是否做过渗透测试"，通常关心的是你的互联网暴露系统；对小公司来说，只要控制类问题回答得好，答"否"往往也可以接受。如果表格或经纪人把渗透测试列为承保条件，那就做，但要按对方指的系统来定范围，并且先修好配置类发现，免得测试报告一开头就是本可避免的基础问题。

交给保险公司的任何证据都要遵守两条：注明日期；永远不要说成"保险公司认可"。最终由保险公司根据你提交的材料自行判断。

外部审计师或合规框架要什么？

取决于框架，最诚实的做法是读条款原文。

• 点名要求渗透测试的框架： PCI DSS v4.0.1 第 11.4 条要求至少每 12 个月以及在重大变更后进行内部和外部渗透测试。如果你在 PCI 范围内，审计不能替代它。
• 要求控制证据的框架： ISO 27001 监督审核、SOC 2 报告以及大多数客户的供应商问卷，主要想看到控制存在并且在运行：访问复核、MFA、日志、配置标准。带日期导出记录的配置审计，通常更接近审计师抽样的内容。
• 英国 Cyber Essentials： 该计划的问题都与配置有关，例如云服务 MFA、管理员账号和安全配置。我们的审计报告包含 Microsoft 365 部分的准备度视图，最终由认证机构自行决定。
• 亚洲受监管的金融机构： 监管指引往往期望对关键系统定期进行渗透测试。香港和新加坡的具体触发条件见我们的漏洞管理与渗透测试指南。

如果对方的要求很模糊（例如"提供安全测试证据"），直接问审计师在抽查哪一项控制。答案通常一句话就能决定该做哪一个。

董事会真正需要什么？

董事会不关心方法论，他们想知道三件事：我们暴露程度有多大、正在采取什么行动、怎样知道措施有效。两种服务分别回答其中不同的部分。

审计回答"暴露程度多大、先修什么"：一份分级清单、一份简短的修复路线图，以及每项的工作量估算，几乎不用改就能变成一份董事会文件。渗透测试回答"面对真实攻击者能否守住"：一段关于攻击者能接触到什么的叙述，很有说服力，但范围较窄，因为它只描述了一位测试人员在固定天数内找到的路径。

对大多数中小企业的董事会来说，合理的要求是：现在先做审计，修复高严重度发现，然后委托渗透测试来验证结果。这样的顺序也给了董事会一个看得懂的"前后对比"。

应该先做哪一个？

在绝大多数 Microsoft 365 环境里，审计应该先做，原因有三：

1. 每个发现的成本更低。 MFA 排除项、旧协议、过度开放的共享这类配置缺口，读设置比攻击更快发现。
2. 它让测试更有价值。 面对已经加固的租户，测试人员会把时间花在更难的路径上，而这正是你付钱的目的。
3. 它马上给你可执行的事项。 大多数审计发现只是配置调整，不需要购买新许可证。

只有当合同、框架或保险公司把渗透测试列为有截止日期的条件时，才应先做渗透测试。即便如此，在测试人员开始之前先做一次快速配置检查也是值得的。

英国和澳大利亚的买家

微软365审计全程远程交付：全局管理员批准一个只读应用，书面报告在获得租户访问权限后 5–7 个工作日内交付，讲解会议按你所在地的工作时间安排。如需日常 IT 支持，可参考我们的英国 IT 支持（英文）和澳大利亚 IT 支持（英文）页面。

费用和周期大概是多少？

审计按 Microsoft 365 用户数收取一次性固定费用，不同规模的检查范围完全相同。当前价目表，以及季节性优惠（如有）都列在微软365安全审计价格页。书面报告在获得租户访问权限后 5–7 个工作日内交付。

渗透测试则按每个项目单独定范围，因为工作量取决于范围大小：有多少个外部地址、是否包括内部网络或 Web 应用、是否允许社会工程。一般流程是：范围沟通会、书面的测试规则文件、以天计算的测试窗口，然后是报告，以及对已修复发现的复测。

常见问题

微软365安全审计和漏洞评估是一回事吗？

就 Microsoft 365 而言，基本是。租户里没有你自己的基础设施可以扫描，所以"Microsoft 365 漏洞评估"实际上就是对照基准的配置审查。对你自己的服务器、防火墙和笔记本电脑做漏洞扫描，是另一项单独的服务。

可以不经微软许可就对 Microsoft 365 做渗透测试吗？

做法是遵守微软公开的测试规则，而不是逐次申请批准。规则把测试限制在你自己的租户和获授权的账号内，禁止拒绝服务测试和任何针对其他客户的行为。任何正规的测试方都会把这些限制写进书面范围。

渗透测试会发现和审计一样的问题吗？

部分会。测试人员发现没有 MFA 的账号就会利用它，所以这个缺口两边都会出现。但测试只停留在限定时间内成功的路径上，而审计会列出所有不达标的控制，包括那些只有组合起来才危险的问题。

保险公司要求渗透测试，可以用审计代替吗？

只有保险公司或经纪人同意才行。无论如何都应该把审计证据用于回答控制类问题，并书面询问渗透测试是承保条件还是评分项。如果是条件，就按对方指的系统定范围做测试。

两者分别多久做一次？

审计建议每年做一次，并在重大变化（例如并购、新租户、许可证调整）之后重做。渗透测试在框架有要求时通常每年一次，并在范围内系统发生重大变更后再做。

审计会帮我们修复问题吗？

不会。审计是只读的，交付的是发现和修复计划。修复是另一项工作，可以由你自己的团队、现有服务商完成，也可以由我们按单项报价执行。

下一步

如果你手上有一份写着"安全测试"的问卷、审计师要求或董事会决议，发给我们，我们会告诉你它要的是哪一种。联系顾问，或者先从微软365安全审计开始，等发现项关闭后再加做渗透测试。