应用安全审查

本次审查的应用范围

当为所选套餐约定并在工作开始前书面确认时，这些面向应用的范围可以在本服务内评估。

• Web 应用安全测试 — 审查面向客户的 Web 应用，查找身份验证、会话、表单、访问控制、数据处理和常见应用攻击路径中的弱点。
• API 安全测试 — 在已确认且以 API 为重点的范围内，如存在，审查可检查 REST、GraphQL、WebSocket 和服务到服务接口，包括身份验证、授权、业务逻辑滥用路径、速率限制、令牌和会话边界、租户隔离、数据暴露、端点行为及集成风险。基于证据的发现将按严重性排序并提供修复指导；任何按所选套餐包含的复测仅限于已约定修复的发现，实施工作仍需单独确定范围。
• 移动应用安全测试 — 审查约定的 iOS 或 Android 应用表面、应用数据处理、身份验证流程、API 交互和与安全相关的应用行为。

扩展测试选项 — 单独确定范围

这些领域仅在单独确认范围、书面授权和报价后才可提供。不会自动包含在本服务当前的 Starter、Standard 或 Premium 价格中。

• 桌面应用安全测试 — 对约定的桌面应用进行审查 — 它如何处理用户输入、在设备上存储数据、与后端服务通信，以及在工作站上安装后如何保护敏感工作流。
• 外部网络安全测试 — 从外部视角审查面向互联网的系统，以识别暴露的服务、弱配置以及外部方可能尝试用于针对组织的路径。
• 内部网络安全测试 — 从组织内部的授权位置审查内部网络环境，查看如果攻击者到达内部网络，系统、账户和服务可能如何被滥用。
• 无线网络安全测试 — 审查约定的无线网络和接入点 — 用户如何连接、无线环境如何与敏感系统分段，以及弱配置可能在何处被滥用。
• VoIP 安全测试 — 审查约定的 voice-over-IP 电话组件 — 呼叫路由、身份验证、暴露的服务以及可能影响通信完整性或通话成本的滥用路径。

仅限专业接受

• OT / SCADA / ICS 安全测试 — 需要专业的技术接受、书面授权、约定的安全限制和单独的报价，然后才能确认任何工作。不会被定位为通过直接在线购买自动可用。