上线前：把漏洞挡在发布之前
多数安全事件的根源是带着漏洞上线。我们在测试环境对系统做黑盒渗透与代码审计，覆盖注入、越权、文件上传、逻辑缺陷等高频问题，每一项发现都附请求与响应证据。交付物是分级漏洞报告与修复建议清单，修复后可安排复测确认，帮助开发团队在发布窗口内完成闭环。
三个能力，对应三类风险
运行中：让告警有人盯着
系统上线后的日志、告警和补丁常常无人处理。安全运维托管服务把资产梳理、基线核查、漏洞扫描和补丁跟进纳入固定节奏，按周或按月输出运行报告。出现可疑事件时走应急响应流程：先隔离取证，再定位入侵路径，最后给出加固措施，避免同类事件二次发生。
合规侧：等级保护不走弯路
等级保护对很多企业来说流程陌生、术语密集。我们协助完成定级与备案材料准备，按测评指标做差距分析，把技术整改和管理制度建设拆成可执行的任务清单，并跟进整改落地，直到系统达到送测条件。测评机构出具结论，我们负责让系统先过自己这一关。
九项服务
按项目采购，也可组合成年期方案。
渗透测试
模拟真实攻击手法，验证系统在注入、越权与逻辑缺陷上的实际暴露面。
- 覆盖 Web、接口与内网横向
- 漏洞附可复现证据
- 通常 3–5 个工作日交付
等级保护咨询
从定级备案到整改落地，把等保流程拆成可执行的任务清单。
- 定级备案材料协助准备
- 差距分析与整改方案
- 跟进至达到送测条件
漏洞扫描
自动化扫描结合人工研判，剔除误报后输出可信的资产风险视图。
- 主机、中间件与应用层扫描
- 人工复核剔除误报
- 支持按月例行执行
应急响应
事件发生后先隔离取证，再定位入侵路径，最后落实加固措施。
- 日志取证与入侵路径还原
- 远程接入或现场处置
- 输出事件复盘报告
代码审计
在代码层面定位注入点与危险函数调用，把问题修在发布之前。
- 支持 Java、PHP、Python 等主流栈
- 逐条给出修改建议
- 可与渗透测试联合采购
安全运维托管
资产梳理、基线核查、补丁跟进纳入固定节奏，按期输出运行报告。
- 按周或按月输出报告
- 例行漏洞扫描与基线核查
- 年度合约制
安全培训
面向开发与运维的实操培训，用真实漏洞案例讲清攻防原理。
- 按角色定制课程内容
- 线上或现场授课
- 半天至两天课时可选
数据防泄漏治理
梳理敏感数据流向，收紧账号权限与导出通道，降低内部泄漏风险。
- 敏感数据资产盘点
- 权限与导出通道收紧方案
- 与等保整改联动实施
堡垒机实施
统一运维入口，收编散落的账号密码，让每次操作都留有审计记录。
- 账号纳管与权限分级
- 会话录像与审计留存
- 部署与迁移一站式完成
四步合作流程
- 01
范围确认
明确目标资产、测试边界与时间窗口，签署授权书，把能测什么、不能碰什么写成书面约定。
- 02
执行检测
按既定方法开展渗透、扫描或审计，过程同步通报高危发现，重要验证动作事先确认。
- 03
报告交付
输出分级报告：每条漏洞附证据、风险说明与修复建议，并安排一次线上讲解。
- 04
复测闭环
修复完成后复测确认，出具复测结论；需要长期跟进的可转入运维托管。
常见问题
渗透测试一般需要多长时间？
时间主要取决于目标系统的数量与复杂度。单个中小型 Web 系统通常 3–5 个工作日可以完成测试与报告初稿；如果涉及多个子系统、接口或 App 客户端，周期会相应拉长。我们会在开工前给出明确的时间表，并在测试过程中同步通报高危发现。
渗透测试会不会影响业务正常运行？
我们默认采取非破坏性测试策略，只验证漏洞是否存在，不实际破坏数据或服务。对于存在风险的验证动作，会先与客户确认时间窗口再执行。也可以安排在夜间或业务低峰期进行，把影响降到可控范围。
等级保护测评可以由你们直接出证书吗？
等级保护测评证书由具备资质的第三方测评机构出具，我们的角色是咨询与整改：协助定级备案、开展差距分析、输出整改方案并跟进技术整改落地，帮助系统达到送测条件，与测评机构的工作互为衔接。
发现漏洞之后，你们负责修复吗？
报告交付后我们会安排一次线上讲解，逐条说明漏洞原理、风险等级与修复建议。对于客户提供权限的系统和代码，可以协助验证修复效果并出具复测结论；修复动作本身通常由客户的开发团队执行，我们提供全程技术支持。
服务如何报价？
报价与测试目标数量、系统复杂度、是否需要现场驻场以及交付周期相关。我们按项目范围逐项核算，先出书面报价单，确认范围后再开工，不在项目中途追加未约定的费用。