因業(yè)務(wù)調(diào)整，部分個(gè)人測(cè)試暫不接受委托，望見諒。

檢測(cè)項(xiàng)目

注入漏洞、跨站腳本(XSS)、失效的身份認(rèn)證、敏感數(shù)據(jù)暴露、XML外部實(shí)體(XXE)、失效的訪問控制、安全配置錯(cuò)誤、跨站請(qǐng)求偽造(CSRF)、使用含有已知漏洞的組件、未受保護(hù)的API、緩沖區(qū)溢出、不安全的反序列化、組件間不安全通信、日志記錄與監(jiān)控不足、會(huì)話固定攻擊、路徑遍歷、文件包含漏洞、命令注入、業(yè)務(wù)邏輯缺陷、權(quán)限提升漏洞、DNS劫持攻擊、SSL/TLS配置缺陷、HTTP頭注入、點(diǎn)擊劫持、服務(wù)端請(qǐng)求偽造(SSRF)、認(rèn)證旁路漏洞、密碼學(xué)誤用、資源耗盡攻擊、中間人攻擊(MITM)、云配置錯(cuò)誤。

檢測(cè)范圍

Web應(yīng)用程序、移動(dòng)端APP(Android/iOS)、API接口服務(wù)、物聯(lián)網(wǎng)設(shè)備固件、工業(yè)控制系統(tǒng)(SCADA)、數(shù)據(jù)庫(kù)管理系統(tǒng)(MySQL/Oracle)、云服務(wù)平臺(tái)(AWS/Azure)、容器化應(yīng)用(Docker/K8s)、網(wǎng)絡(luò)邊界設(shè)備(防火墻/IDS)、VPN接入系統(tǒng)、郵件服務(wù)器(SMTP/POP3)、DNS解析服務(wù)、負(fù)載均衡設(shè)備、SD-WAN組件、VoIP通信系統(tǒng)、區(qū)塊鏈智能合約、車聯(lián)網(wǎng)ECU單元、醫(yī)療影像系統(tǒng)PACS、工控PLC控制器、ATM機(jī)操作系統(tǒng)、智能家居網(wǎng)關(guān)、視頻監(jiān)控NVR/DVR、無(wú)線接入點(diǎn)(AP)、POS終端系統(tǒng)、電子政務(wù)平臺(tái)、電子商務(wù)交易系統(tǒng)、在線支付網(wǎng)關(guān)、數(shù)字證書CA系統(tǒng)、生物特征識(shí)別終端。

檢測(cè)方法

靜態(tài)代碼分析(SAST)：通過詞法分析及控制流檢查識(shí)別源代碼中的潛在缺陷。
動(dòng)態(tài)應(yīng)用測(cè)試(DAST)：模擬真實(shí)攻擊流量探測(cè)運(yùn)行時(shí)的安全漏洞。
交互式應(yīng)用測(cè)試(IAST)：結(jié)合運(yùn)行時(shí)插樁技術(shù)實(shí)現(xiàn)精準(zhǔn)漏洞定位。
模糊測(cè)試(Fuzzing)：構(gòu)造異常輸入數(shù)據(jù)驗(yàn)證程序異常處理機(jī)制。
配置審計(jì)：核查系統(tǒng)參數(shù)設(shè)置是否符合安全基線要求。
協(xié)議逆向分析：解析私有通信協(xié)議中的設(shè)計(jì)缺陷。
威脅建模：基于STRIDE框架進(jìn)行系統(tǒng)性風(fēng)險(xiǎn)識(shí)別。
滲透測(cè)試：模擬高級(jí)持續(xù)性威脅(APT)實(shí)施多階段攻擊驗(yàn)證。
依賴項(xiàng)掃描：檢查第三方組件已知CVE漏洞情況。
加密算法驗(yàn)證：評(píng)估密碼學(xué)實(shí)現(xiàn)是否符合FIPS140-2標(biāo)準(zhǔn)。

檢測(cè)標(biāo)準(zhǔn)

ISO/IEC27001:2022信息安全管理系統(tǒng)要求
NISTSP800-115信息安全測(cè)試與評(píng)估技術(shù)指南
OWASPTop10-2021十大Web應(yīng)用安全風(fēng)險(xiǎn)
PCIDSSv4.0支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)
GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求
ISO/IEC15408:2022信息技術(shù)安全評(píng)估通用準(zhǔn)則
ENISAICT供應(yīng)鏈安全指南
IEC62443工業(yè)通信網(wǎng)絡(luò)信息安全標(biāo)準(zhǔn)
HIPAASecurityRule醫(yī)療數(shù)據(jù)安全規(guī)范
GDPRArticle32數(shù)據(jù)處理活動(dòng)安全要求

檢測(cè)儀器

BurpSuiteProfessional：正規(guī)的Web應(yīng)用滲透測(cè)試平臺(tái)，支持自動(dòng)化掃描與手動(dòng)滲透結(jié)合。
Nessus：網(wǎng)絡(luò)漏洞掃描器，具備55000+個(gè)漏洞特征庫(kù)。
MetasploitFramework：開源滲透測(cè)試框架，集成2000+個(gè)攻擊模塊。
Wireshark：網(wǎng)絡(luò)協(xié)議分析儀，支持深度報(bào)文解析與流量模式識(shí)別。
QualysCloudPlatform：云原生漏洞管理平臺(tái)，提供持續(xù)監(jiān)控能力。
CheckmarxSAST：靜態(tài)代碼分析系統(tǒng)支持30+編程語(yǔ)言的安全審查。
AcunetixWVS：自動(dòng)化Web漏洞掃描器具備AJAX深度爬取能力。
FortifySCA：企業(yè)級(jí)代碼審計(jì)工具集成開發(fā)環(huán)境插件。
KaliLinux：滲透測(cè)試專用操作系統(tǒng)包含600+安全工具套件。
CellebriteUFED：物聯(lián)網(wǎng)設(shè)備固件提取與逆向分析專用設(shè)備。

檢測(cè)流程

1、咨詢：提品資料(說明書、規(guī)格書等)

2、確認(rèn)檢測(cè)用途及項(xiàng)目要求

3、填寫檢測(cè)申請(qǐng)表(含公司信息及產(chǎn)品必要信息)

4、按要求寄送樣品(部分可上門取樣/檢測(cè))

5、收到樣品，安排費(fèi)用后進(jìn)行樣品檢測(cè)

6、檢測(cè)出相關(guān)數(shù)據(jù)，編寫報(bào)告草件，確認(rèn)信息是否無(wú)誤

7、確認(rèn)完畢后出具報(bào)告正式件

8、寄送報(bào)告原件