NCA ECC 渗透测试：控制项 2-11
沙特国家网络安全局（NCA）的 Essential Cybersecurity Controls 将渗透测试置于控制项 2-11，而该控制项比多数人预期的更为具体：它不仅规范你是否做了测试，还规范要求是否已记录、已批准、已实施，以及范围是否覆盖 NCA 所规定的内容。
控制项 2-11 实际规定了什么
Essential Cybersecurity Controls 将渗透测试置于领域 2「Cybersecurity Defence」下的控制项 2-11。其目的是通过模拟攻击评估组织防御能力的有效性，以发现技术基础设施中可能导致数据泄露的薄弱环节。
该控制项可拆分为三项义务，而各组织常常满足了第三项，却未能满足前两项：
- 定义、记录并批准渗透测试相关的网络安全要求。这本身就是一项独立的文档义务：你需要一份经批准的书面文件，说明测试范围如何界定、以何种频率执行、由谁审批。
- 实施这些要求。测试按你所记录的周期切实执行。
- 将测试范围设定为至少覆盖面向互联网的服务及其背后的技术基础设施。
由此带来的实际后果是：一家每年都委托高质量渗透测试、却从未书面确立并批准自身测试要求的机构，仍然不符合 2-11。评估师在查阅报告的同时，同样在查阅制度文件与审批留痕。
六个月的陷阱：CSCC
若你的任一系统被划定为关键系统，Critical Systems Cybersecurity Controls 将在 ECC 之上适用，将这些系统的测试要求提升至至少每六个月一次。
这是沙特合规项目中最常见的预算与规划失误。年度假设在采购环节被固化，分级工作却在之后或由另一个团队完成，而这一错配要到评估现场才暴露出来，那时已经没有时间再做第二次测试。请先完成分级，再围绕结论设计测试计划；如果部分系统属于关键系统而其余不是，通常可以对关键子集开展规模较小的半年度委托，同时对全部资产开展完整的年度委托，这比一年两次测试整个环境要便宜得多。
如何界定一个能通过评估的范围
控制项的最低范围是面向互联网的服务加上其背后的技术基础设施。这是下限。仅按下限搭建的范围会引出评估师一个显而易见的问题：如果你的暴露面分析止步于边界，你凭什么认定边界上的立足点不会通向任何地方？
能够无争议通过的范围是：
- 外部网络——全部面向互联网的资产，包括多年前发布后被遗忘的主机与服务。这是控制项明确要求的。
- Web 应用与 API——身份认证、授权、业务逻辑、注入。实务中，这正是面向互联网服务背后的技术基础设施。
- 内部网络——立足点能够触及多远，以及分段隔离在压力下是否守得住。
- Active Directory——ADCS 证书模板滥用、Kerberoasting、委派，以及通往 Domain Admin 的 ACL 路径。在沙特的政府或企业环境中，边界立足点演变为全面失陷几乎总是发生在这里，而这恰恰是基于扫描器的评估永远发现不了的部分。
- 云——在工作负载迁移之处，Cloud Cybersecurity Controls 同步适用，租户也需要同等对待：Entra ID 与 Azure RBAC 的提权路径、暴露的存储、身份配置错误。
证据材料
共四项，而最常缺失的是最后一项：
- 经批准的测试要求文件——这是 2-11 中并非测试本身的那一部分。
- 一份范围说明文件，载明哪些在范围内、哪些不在，以及为何这样安排是恰当的。
- 报告：发现事项、CVSS 评级、复现步骤，以及对控制项 2-11 的明确映射。
- 整改与复测证据——修复了什么、何时修复、经复测确认。对于你选择接受的风险，需要有记录在案的决定和理由；接受是允许的，沉默则不然。
一份载明由谁测试、针对何种范围、于何日期执行的实施证明函，使整套材料得以完整。本方承接的每个项目都将报告、复测与实施证明作为标准内容而非付费附加项，因为真正的交付物是一套可应对评估的完整材料，报告本身并不等于这套材料。
为何由谁来测试很重要
ECC 并不像阿联酋的 NESA 那样规定具体资质，但这个问题会在评估现场、以及在将要求向下传导的政府客户那里被提出：这是谁做的，他持有什么资质？
本人持有 OffSec 认证的续期版本 OSCP+，并持有 eCPPT、eWPT 与 eCIR，以及用于 Microsoft 与 Azure 部分工作的 AZ-500、SC-200 与 SC-300。所有资质均可通过 OffSec credential wallet 独立核验，该链接应当与报告一并放入你的证据材料中。
本人在安曼办公，时区为 GMT+3（与利雅得工作时间完全一致），可用阿拉伯语或英语远程交付。内部网络与 Active Directory 测试通过贵方环境内的 VPN 或跳板主机执行；关于证据在何处处理与存储的任何限制，均在测试开始前以书面形式写入测试约定规则。
下一步
请告知 CSCC 是否适用于你的任一系统、环境大致情况，以及评估时间。你将收到固定报价与开工日期。若希望先查看交付成果，可参阅示例报告；若希望在几分钟内了解当前的外部暴露面，免费边界扫描可以做到，且不附带任何约束。
延伸阅读：沙特阿拉伯的渗透测试介绍 ECC、CSCC 与 SAMA 之间的衔接，SAMA 页面说明金融业要求，合规总览对所有框架进行比较。欢迎联系我，阿拉伯语同样欢迎。
NCA ECC 常见问题
各级政府机构、为其提供服务的企业，以及国家关键基础设施运营方。实务中的覆盖面比字面更广，因为义务会逐级传导：机构通过合同将符合 ECC 的要求下压给供应商，因此一家对 NCA 并无直接义务的民营企业，往往对其政府客户负有非常实际的义务。如果沙特公共部门客户要求你提供渗透测试证据，该要求背后通常正是这一控制项。
ECC 控制项 2-11 要求定期测试，多数机构采用并能顺利说明的是年度周期。若你的任一系统被划定为关键系统，则适用 Critical Systems Cybersecurity Controls，对这些系统的要求提升至至少每六个月一次。请在做预算之前先完成分级：在采购批准年度预算科目之后才发现是六个月周期，是一个确实常见且完全可以避免的问题。
至少包括面向互联网的服务及其背后的技术基础设施。这一最低要求是下限而非目标：当机构运行着庞大的内部资产，评估师却看到范围止步于边界时，他会追问原因。能够从容通过评估的范围是：外部攻击面、Web 应用与 API、内部网络、Active Directory，以及工作负载所在的云租户。
职责分离很重要——构建或运维系统的人不应当是评估它的人——实务中，即便具备成熟内部能力的机构，也会为年度周期引入外部测试方，因为独立性作为证据呈现，比在争论中论证更简单。若你确有能干的内部团队，行之有效的分工是：全年持续开展内部测试，并为监管周期安排一次独立的外部委托。
2024 年修订更新并扩展了各项控制，同时将渗透测试仍保留在 2-11，其基本构成不变：定义、记录并批准要求；加以实施；并将测试范围设定为至少覆盖面向互联网的服务与技术基础设施。如果你的合规体系是基于旧版搭建的，测试义务本身是延续而非新增——值得重新核对的，是把已记录的范围与审批留痕对照现行条文，差异大多集中在那里。
需要在评估前准备 ECC 2-11 证据吗？
按控制项界定范围，报告附带映射关系，含复测与实施证明。