滲透測試服務

雷盾資安 OSCP 認證團隊提供黑箱、白箱與灰箱滲透測試，模擬 APT 攻擊鏈，找出並驗證可被利用的漏洞，附完整修補報告與複測服務。

測試方式與範疇

依企業網路架構與提供的存取權限，滲透測試分為三種執行方式：

黑箱測試：測試團隊在無任何帳號、架構資訊的情況下，從網際網路模擬外部攻擊者視角發動攻擊。
灰箱測試：企業提供部分存取權限——例如內部網路未對外開放時，由客戶提供 VPN 連線讓測試團隊連入內網、觸及目標系統——模擬已取得初步立足點的攻擊者情境，能更有效率地涵蓋深層風險。
白箱測試：測試團隊取得完整架構文件、原始碼或系統帳號，進行最全面、最深入的弱點盤點。

除了網路層級的測試，我們也提供 API 滲透測試，針對企業對外開放的 API 介面進行身分驗證繞過、權限控管缺陷、資料外洩等風險評估，可依前述任一種存取權限模式執行。

由 OSCP 認證專家執行的企業滲透測試標準流程

我們的滲透測試方法論整合 PTES（Penetration Testing Execution Standard）與 OWASP Testing Guide 兩大業界標準框架，涵蓋範圍定義到報告產出的完整流程，確保測試結果可重複驗證、符合國際稽核標準。

滲透測試報告也是多項法規與國際標準的必要佐證文件：《資通安全管理法》資安稽核、ISO 27001:2022 風險評鑑、PCI DSS 年度測試要求，以及歐盟 CRA 技術文件（詳見CRA 歐盟網路韌性法案合規服務、ISO 27001 顧問輔導服務）。

測試完成後，您將收到一份完整報告，包含：供管理層閱讀的風險摘要與商業影響評估、供技術團隊使用的漏洞技術細節與重現步驟、按風險等級排序的修補優先順序建議。修補完成後，我們提供免費複測服務，驗證漏洞確實修補完成。

滲透測試是模擬網路攻擊，主動找出系統中可被利用的弱點，在真實攻擊者之前進行修補。

建議企業每年至少進行一次滲透測試，或在重大系統變更或資安事件後立即執行。此建議符合 PCI DSS §11.4.3 及 NIST SP 800-115 規範要求。

弱點掃描是自動化工具找出已知漏洞；滲透測試則由專業人員手動嘗試利用這些漏洞，評估實際風險影響。

可以。CRA Annex I Part II 第 3 項要求對產品實施有效且定期的安全測試，我們的報告可依 Annex VII 第 6 項格式交付，作為技術文件的測試證據。

我們會在測試前與您確認範圍、時段與禁止事項，並避開可能造成服務中斷的手法（例如阻斷服務攻擊）。風險較高的驗證步驟會事先徵得您的同意，必要時可安排在離峰時段或測試環境進行，將對正式營運的影響降到最低。

時程依專案規模與測試範圍而定。測試結束後，我們會整理風險摘要、漏洞技術細節與修補建議，交付完整報告；確切的交付時間會在專案啟動前與您確認，如有時程需求請於洽詢時提出。

不需要。修補完成後，我們提供免費複測，驗證報告中的漏洞是否確實修補完成。複測的範圍與安排依專案約定而定，若需要額外的複測輪次或擴大範圍，請洽詢。