覆盖信息安全的全生命周期
从一次性评估到持续支持，我们守护您的基础设施、应用和流程的安全。
安全与文档审计
对基础设施、配置、流程和文档进行端到端评估，并出具按优先级排序的报告。
- 网络、服务器与云环境审查
- 策略、规程与流程审计
- 附整改方案的报告
渗透测试
以黑盒、灰盒或白盒模式开展受控攻击，找出真实攻击者会利用的弱点。
- Web、移动端、API 与外部边界
- 内网渗透与网络隔离
- 整改后复测
红队
按约定场景开展、目标明确的模拟攻击，同时检验您的人员、流程与防御能力。
- OSINT 与社会工程
- 钓鱼与物理访问
- 蓝队响应评估
事件响应
事件发生时提供帮助：调查、遏制与恢复，响应时间在保留服务协议中予以保证。
- 事件分级与取证调查
- 遏制与恢复支持
- 根因分析与经验总结
认证准备
我们围绕国际标准搭建流程与文档，并陪伴您直至取得认证。
- ISO 27001、SOC 2、PCI DSS、GDPR
- 策略、规程与风险登记册
- 全程支持认证审核
培训与安全意识
提升团队抵御攻击的能力：培训、钓鱼演练与知识考核。
- 钓鱼演练
- 员工安全培训
- 安全开发
从提出需求到交付成果的透明流程
范围界定
我们确定评估边界、目标与威胁模型，并就时间安排和测试规则达成一致。
评估
审计与渗透测试：找出漏洞以及攻击者可能利用的路径。
报告
一份按优先级排序的报告：发现了什么、为何重要以及如何修复。
后续支持
我们协助整改并进行复测，确认风险已被关闭。
实战派，而非空谈者
我们不仅发现漏洞，也亲手打造产品与基础设施，因此能从攻防两端理解风险。
实战经验丰富的测试人员亲手测试，按真实攻击者的方式行事。工具只是辅助，无法取代专业判断。
Vexaro 自研软件与基础设施，因此我们清楚问题通常出在哪里。
不是扫描器的原始堆砌，而是优先级、业务风险与具体步骤。
我们协助整改，并在工作说明书（SoW）约定的时间窗口内对修复进行免费复测。
为国际标准与认证做好准备
服务形式与切合实际的周期
周期仅供参考，最终范围取决于规模与约定的威胁模型。
渗透测试
Web、移动端、API 或外部边界。
安全与文档审计
基础设施、配置与流程。
红队
按约定场景开展的定向攻击模拟。
ISO 27001 准备
落地 ISMS、文档与内部审核。
SOC 2 Type II
控制措施落地，外加观察期。
PCI DSS
为 QSA 评估做好准备。
我们重点测试的问题类型
基于常见发现类型的示意场景，并非客户案例。
支付 API 渗透测试
示意：通过请求竞争绕过转账限额并篡改金额。这正是人工 API 测试应在上线前发现的那类逻辑缺陷。
分支网络审计
示意：收银机管理后台暴露在互联网上，办公点之间是扁平网络。可通过外部与内部测试发现，并通过网络分段与边界加固解决。
ISO 27001 准备
示意：搭建 ISMS（流程、策略、规程与员工培训），为认可机构的第一阶段与第二阶段审核做好准备。
我们的所有发现，只在你我之间
每个项目都以签署保密协议开始。您基础设施的细节、我们的发现以及各项报告，仅向参与您项目的人员开放，其中包括受同等保密义务约束的分包方。除法律要求外，不向任何其他人披露。
在获取任何访问权限之前，我们先签署保密协议。
访问凭证、过程产物与报告均以加密方式存储。
数据访问仅限项目成员，并严格遵循按需知悉原则。
工作数据在约定的保留期满后删除或返还，临时访问权限随之撤销。
常见问题
审计是对配置、流程和架构安全性的评估。渗透测试是受控攻击，验证实际上如何可以入侵。两者常常同时进行。
我们会尽力做到这一点。我们先约定威胁模型、边界和规则；高负载或可能影响业务的检测只在约定窗口内进行。对在线系统的主动测试始终存在一定的中断风险，因此我们会围绕您的备份与关键时段来规划。
一份报告，包含按优先级排序的发现、业务风险评估以及具体的修复步骤。还包括整改支持，以及在工作说明书（SoW）约定的时间窗口内对已修复发现的免费复测。
会。我们会就修复为您的团队提供咨询，并进行复测以确认风险已消除。
ISO 27001、SOC 2、PCI DSS、GDPR、OWASP ASVS、NIST CSF 等。我们按标准要求搭建流程与文档，并陪伴至获得证书。
切合实际的周期如下：渗透测试 1 至 3 周，安全审计 2 至 4 周，ISO 27001 准备 6 至 9 个月，PCI DSS 3 至 6 个月。SOC 2 Type II 需要 3 个月实施，外加 3 至 12 个月观察期。
开始前我们会签署 NDA。发现与证据以加密方式存储在有访问控制的系统上，访问遵循最小权限，报告通过安全渠道交付，工作数据在约定的保留期满后删除或返还。