十二个真问题

价格与周期

渗透测试的报价怎么计算？

主要看测试目标的数量与深度：单个 Web 应用、一套接口还是一个内网网段，工作量差别很大。我们按资产规模与测试深度给出区间报价，签约前书面确认范围，不会在执行中追加隐性费用。对比报价时建议同时对比范围清单，便宜一半的报价可能只测了一半的目标。

一个渗透测试项目周期多久？

单应用的功能与漏洞测试通常一至两周，包含内网横向的综合性测试通常两至四周，取决于资产数量与业务复杂度。报告在测试结束后约一周内交付，高危发现不等报告、即时通报。急着赶上线节点的话，可以在开发阶段就安排测试，避免发布前才发现结构性问题。

等保定级和备案可以代办吗？

材料编制与流程陪同我们全程协助，定级结果与备案由你作为责任主体确认提交——等级保护的责任人始终是运营使用单位，这一点不能外包。我们负责把指标解释清楚、把差距分析做实、把整改方案落到可执行，让测评环节一次通过的概率更高，而不是替你签字。

执行与影响

测试会不会把业务系统弄挂？

受控测试的风险主要来自高强度的自动化扫描和激进的验证利用。我们用限速扫描、避开峰值时段、对生产环境只做克制验证这三条来控制风险，并在方案里写明回退预案。即便如此，任何生产环境测试都有固有不确定性，这也是我们坚持签署授权书与范围清单的原因。

测试需要我们配合什么？

需要提供测试范围内的账号（低权限即可）、环境说明与一位可随时联系的技术对接人。测试期间对接人的作用是处理突发情况：确认某条告警是测试行为、必要时叫停某个测试项。不需要提前修复什么——你现在的真实状态才是测试的价值所在。

能不能只测我们指定的某几个系统？

可以，范围完全由你划定。但要提醒一点：攻击者不按你的范围清单走路。只测核心业务系统时，从旁站系统或弱口令VPN切入的路径测不到，报告里的"不可达"结论要带着这个前提去读。预算有限时，可以在范围里保留一两台边缘系统作为切入点验证。

交付与保密

报告怎么验收？一份合格的报告长什么样？

合格报告的每个发现都有四件事：漏洞描述、复现步骤、证据截图、修复建议，且建议具体到操作层面而非"建议加固"。验收时抽两三条漏洞照着复现步骤核一遍，能复现的才可信。我们交付的报告经过第二人复核，并附整改后的一次免费复测。

测试数据和我们系统的信息会保密吗？

所有项目签署保密协议后才开展工作，测试数据仅用于项目交付，项目结束后按约定方式销毁或归还。文档传输走加密渠道，项目组之外的人接触不到你的系统信息。保密条款的具体期限与销毁方式可以在协议里按你的要求细化。

服务能不能按我们的情况定制？

可以。常见定制如：把渗透测试聚焦在某个新上线模块、把托管月报改成季度高管版、培训按行业案例重写。定制影响的是工作量与排期，报价随之调整，流程标准不变——定界、授权、执行、报告、复验这五步在任何定制方案里都保留。

长期与突发

没有专职安全团队，托管服务怎么衔接？

托管正是为这种情况设计的。我们接手日志采集与告警研判，重要事件直接通知到你的指定联系人并附处理建议，月报用管理者能读懂的语言写。你的运维同事不需要懂安全分析，只需要在需要时执行我们给出的操作步骤。衔接期通常两至四周，先摸清环境再进入常规值守。

怀疑被入侵了，第一步该做什么？

先别急着关机或删日志——那会毁掉取证线索。第一步是隔离受影响机器的网络连接（保持电源开启），第二步是保留日志与告警记录，第三步立即联系我们走应急流程。我们会先判断影响范围，再决定取证与恢复的顺序，整个处置过程有记录可追溯。