云与基础设施
找出真正可被利用的漏洞，然后修复它们
自动化扫描会产生四十项发现，其中大部分无关紧要。你需要知道的是，哪些漏洞可被真实攻击者串联利用以获取数据——这需要有人实际尝试。这是一次人工审计，最终目的是修复问题，而非一份扫描器输出的PDF。
此方案解决的问题
两点让安全报告毫无用处。一是数量庞大却未分优先级，真正的认证漏洞与静态资源缺失的响应头混杂在同一列表。二是发现缺乏证据，导致问题在内部争论数月而无法修复。
您将获得的服务
已认证的应用测试
按每个用户角色进行测试，因为有趣的漏洞出现在授权环节——一个客户读取另一个客户的发票，编辑访问管理员端点。未经身份验证的扫描永远无法发现这些问题。
每项发现的概念验证
可复现的影响序列。它消除了关于某个问题是否真实存在的争论，而这通常是延误修复的原因。
按可利用性排序的发现
按攻击者实际能达成的结果排序，而非扫描器的严重程度。一个理论上的中等漏洞若位于三个其他控制措施之后，则其优先级低于一个轻易可达的低危漏洞。
服务器与配置审查
暴露的服务、TLS 配置、安全标头、文件权限、版本控制中的密钥，以及权限过高的数据库账户。
依赖项与供应链检查
依赖项中的已知 CVE，交叉引用是否存在可利用的代码路径——这正是将 200 个警报与真正重要的 4 个区分开的关键。
修复后再测试
我们修复您要求的内容，然后重新测试以确认修复效果，并检查修复是否引入了新漏洞。一项审计若止于报告，则只完成了一半工作。
我们的工作方式
范围与授权
明确测试范围、环境与时间窗口——在任何工作开始前以书面形式达成一致。未经书面授权的测试不是我们的服务范围。
侦察
绘制攻击面：端点、角色、集成、第三方组件。
手动测试
身份验证、授权、注入、文件处理、业务逻辑与限速测试，由人工操作辅以工具，而非以工具为主要方法。
报告
每项发现均附带可复现步骤、影响的简明说明及具体修复建议。此外还包括一份非技术总监可执行的摘要。
修复
我们负责修复，或由您的团队修复并在过程中由我们审核。
再测试
验证每项修复并确认未引入新漏洞。
您应当期待什么
- 每个发现都经过验证，避免因争议而非修复被搁置
- 基于实际可利用性而非扫描器严重程度排定修复优先级
- 通过重新测试验证修复结果，而非假设
- 为客户和保险公司（如有要求）提供书面工作记录
构建于
- OWASP ASVS
- OWASP 十大风险
- Burp Suite
- nmap
- sqlmap
- npm audit
- Composer audit
- Snyk
- Cloudflare WAF
- fail2ban
- Imunify360
Mainstream, well-supported technology — chosen so you can hire for it and so another team could take the project over.
安全审计与加固 — your questions
包括那些大多数机构在页面上忽略的成本问题。
针对单个Web应用程序的专项审计起价为£3,500，通常在£3,500至£9,000之间，具体取决于用户角色和集成数量。修复报价需在发现实际问题后单独提供，因为在未发现问题前对修复定价毫无意义。
两者兼具，权重取决于何种方法能为您的情况找到更多问题。在可读取源代码的情况下，代码审查能发现黑盒测试无法发现的漏洞类别——且速度更快。我们不是CREST认证的测试机构，若您的合规性要求该认证，我们会明确告知并为您推荐合适机构。
在有测试环境的情况下，我们在其中进行测试。若必须在生产环境测试，则需明确范围、在商定时间窗口内执行，且排除破坏性测试，除非您书面特别授权。
WordPress核心相对稳定。问题几乎总是出在被遗弃的插件、缺乏速率限制的弱管理员密码以及陈旧的PHP版本。我们清理的典型WordPress入侵案例通常是通过三年前就已停止更新的插件进入的——而非WordPress本身。
我们会在审计完成前立即通知您，并转入应急响应。我们会先保留证据而非立即清理，因为了解攻击者如何入侵才能防止再次发生——请注意，个人数据泄露需在72小时内向ICO报告，您可能需要寻求相关建议。
可以。除技术报告外，您还将获得一份可分享的摘要——包含范围、方法论、按严重程度分类的发现以及修复确认——这通常是企业采购问卷或保险公司要求提供的内容。