最近，由Informa Tech代表CyCognito，在人工渗透测试方面，有3000多名员工IT调查安全经理。
调研指出，进行渗透测试的主要驱动原因是衡量企业的安全态势(70%)以及防范攻击事件(69%)。不过，在一些其他回复中也表达了对渗透测试能否实现这些需求的广泛担忧。
最大的担忧是渗透测试不能覆盖整个架构，导致盲点（60%）。渗透测试只检查已知资产，而不是在云环境中发现和测试被遗忘或未识别的资产（47%）。同时，渗透测试成本过高，无法进一步使用（44%）。此外，渗透测试的结果只能提供当前周期性的环境快照，甚至可能在测试后第二天不再准确（36%）。
这些问题不针对渗透测试人员。渗透测试人员仍提供“在一定时间点检查特定隐患的攻击面。”这句话意味着手动渗透测试在客户最重要的资产测试中仍然占有一席之地，但前提是整体攻击面已经自动监控。
渗透测试不能覆盖整个攻击面的主要原因是成本。79%的受访者表示，渗透测试过于昂贵；78%的受访者认为高成本导致无法测试所有应用程序；76%的受访者认为高成本阻碍了更高的测试频率。一般来说，12%的受访者每年花费超过100万美元进行渗透测试，8%的受访者每年花费50万到100万美元。
35%的受访者每年在渗透测试上花费不到10万美元——这就引发了一个问题：那些在渗透测试中投资最少的企业是否只是为了合规性进行渗透测试？值得注意的是，合规需求正是渗透测试的第三驱动力，65%的受访者表达了合规驱动需求。
除了成本，手动渗透测试的另一个考虑点是覆盖面。其中，60%的最大担忧是，手动渗透测试只覆盖攻击面的一部分有限，留下了很多盲点。47%的受访者还担心，渗透测试只针对已知资产，而不是新的或未知资产。
事实上，47%的受访者认为渗透测试不到公司攻击面的一半。38%的受访者认为渗透测试覆盖了一半以上的攻击面，10%的受访者认为渗透测试覆盖的攻击面不清楚。
覆盖面的缺乏不仅影响到了攻击面，还影响到了时效性。由于渗透测试的成本偏高，只能不常进行。就算一家企业在测试的那天有不错的安全状态并且符合安全规范，在其余的时间里完全可能安全一团糟并且不合规。
在实践中，企业可能永远无法通过渗透测试了解其安全状态的真实状态，因为在24%的测试中，测试报告需要两周时间才能获得。在此期间，可能会出现新的隐患，这些隐患永远不会被测试人员发现。
随着企业数字化进程和云资产的增加，数字架构的规模无疑会扩大；此外，由于企业数字化进程和云资产的增加，WFH资产分散意味着手动渗透测试可能根本无法保护现代网络。
报告中提到：“企业需要继续发现企业中暴露给攻击者的所有资产，以及下属公司、合作伙伴、供应商和云服务提供商的密切联系。”
CyCognito的CEO联合创始人Rob Gurzeev还提到：“安全测试应该能够告诉企业攻击者可以看到和使用什么；这样，防守者就可以采取相应的攻击措施。但是，如果企业只能看到他们已知的资产，只测试他们的攻击面的一部分，并且每年只进行几次测试，那么几乎不可能防止攻击。因此，本报告最大的价值在于反映了一个矛盾：企业希望通过渗透测试获得的东西与实际从渗透测试中获得的结果完全不同。”