滲透測(cè)試服務(wù)

通過自動(dòng)化安全掃描和人工滲透測(cè)試對(duì)移動(dòng)應(yīng)用進(jìn)行多方面檢測(cè)，并挖掘出系統(tǒng)源碼中可能存在的安全風(fēng)險(xiǎn)、漏洞等問題，幫助企業(yè)了解并提高其應(yīng)用開發(fā)程序的安全性，有效預(yù)防可能存在的安全風(fēng)險(xiǎn)。

服務(wù)內(nèi)容

1.模擬黑客手段

滲透工程師會(huì)模擬黑客使用的漏洞發(fā)現(xiàn)技術(shù)和攻擊手段，找到系統(tǒng)比較脆弱的環(huán)節(jié)。

2.深度安全檢測(cè)

發(fā)現(xiàn)可以利用的漏洞后，對(duì)系統(tǒng)進(jìn)行更深入的訪問和更深層次的安全檢查。

3.解決安全風(fēng)險(xiǎn)

然后出具較為完整的測(cè)試報(bào)告，包含漏洞的風(fēng)險(xiǎn)描述、復(fù)現(xiàn)方法以及修復(fù)建議，直觀的理解并解決系統(tǒng)面臨的安全風(fēng)險(xiǎn)。

場(chǎng)景/范圍

1.android/ios應(yīng)用

2.web應(yīng)用

3.微信公眾號(hào)/微信小程序

服務(wù)流程

前期交互 - 搜集情報(bào) - 威脅建模 - 漏洞分析 - 滲透攻擊 - 后滲透攻擊 - 報(bào)告編制

服務(wù)價(jià)值

1.定位安全風(fēng)險(xiǎn)

挖掘安全漏洞和安全風(fēng)險(xiǎn)，并串聯(lián)形成攻擊路徑，而后達(dá)到模擬入侵的效果。整個(gè)滲透過程會(huì)有效的驗(yàn)證每個(gè)安全風(fēng)險(xiǎn)的真實(shí)性及其可利用程度。

2.驗(yàn)證技術(shù)安全

通過滲透測(cè)試，可在技術(shù)層面定性的分析和驗(yàn)證整個(gè)被測(cè)系統(tǒng)的安全性。

3.合法經(jīng)營(yíng)

《網(wǎng)絡(luò)安全法》規(guī)定個(gè)人信息享有被保護(hù)權(quán)。滲透測(cè)試后進(jìn)行漏洞修復(fù)能有效防止信息泄露等風(fēng)險(xiǎn)，避免企業(yè)觸犯法律。

4.提升安全意識(shí)

滲透測(cè)試的結(jié)果可以作為素材進(jìn)行學(xué)習(xí)，包括安全問題的原理、技術(shù)細(xì)節(jié)以及解決辦法；能夠從整體上提升企業(yè)員工的安全意識(shí)，提升企業(yè)資產(chǎn)的安全性。

服務(wù)優(yōu)勢(shì)

1.我們的安全滲透測(cè)試服務(wù)

應(yīng)用漏洞；系統(tǒng)漏洞；業(yè)務(wù)邏輯漏洞；權(quán)限漏洞；社工攻擊；漏洞復(fù)現(xiàn)；專業(yè)報(bào)告與修復(fù)建議；修復(fù)驗(yàn)證。

2.普通的滲透測(cè)試服務(wù)

應(yīng)用漏洞

服務(wù)標(biāo)準(zhǔn)

1.信息技術(shù)安全性評(píng)估準(zhǔn)則

GB/T 18336-2008

2.信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南

GB/T 25058-2010

3.信息系統(tǒng)安全等級(jí)保護(hù)基本要求

GB/T 22239-2008

4.信息系統(tǒng)通用安全技術(shù)要求

GB/T 20271-2006

5.信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求

GB/T 20271-2006

6.信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求

GB/T 20273-2006

7.信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求

GB/T 28448-2012

8.信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南

GB/Z 28828-2012

9.移動(dòng)互聯(lián)網(wǎng)聯(lián)網(wǎng)應(yīng)用安全防護(hù)檢測(cè)要求

YD/T 2695-2014

10.移動(dòng)智能終端上的個(gè)人信息保護(hù)技術(shù)要求

YD/T 3082-2016

11.移動(dòng)智能終端應(yīng)用軟件安全技術(shù)要求

YD/T 3039-2016

《OWASP Top 10 Mobile Risks》