常见问答详解

价格怎么算？

安全服务通常按范围计价：渗透测试看系统数量与功能复杂度，扫描看资产规模与频次，托管看纳入管理的节点数。我们不报一口价，会在了解资产清单后给出分档报价，并在合同中锁定范围，避免实施中临时加项。同一范围下，选择不同的深度档位，价格与覆盖程度都会相应变化。

一个渗透测试项目要做多久？

单个对外应用的渗透测试通常以一到数周为量级，具体取决于功能点数量、接口复杂度与授权窗口的宽窄。内网项目还要加上横向移动的验证时间，周期更长。方案阶段我们会给出分阶段的节点安排，过程中如发现高危问题会即时通报，不等整体结束。

服务完成后怎么验收？

验收依据三样东西：报告中每条结论是否可复现、建议是否具备可执行性、整改后的回归复测是否确认问题关闭。我们鼓励客户的技术团队抽查报告中的漏洞进行验证，也欢迎他们提出异议——被推翻的结论我们会撤回并说明原因。复测结论是验收的最后一道凭据。

能不能按我们的业务定制方案？

可以。每份方案都是围绕客户的资产清单与技术栈重新组织的，不做模板套用。例如电商客户会重点验证支付与优惠券逻辑，内部管理系统则更关注权限与数据导出路径。定制也体现在节奏上：可以一次做完，也可以按季度分批推进以配合业务窗口。

测试期间业务会不会中断？

规范流程下不会。授权书中明确禁止拒绝服务类手段，测试强度与时间窗口提前约定，并保留紧急中止机制。对特别敏感的系统，可以先在预发布环境充分测试，再对生产环境做低强度验证性复测。如果您的系统本身脆弱，方案阶段会先做风险提示并调整策略。

等保一定要做吗？我们该定几级？

是否需要做等保取决于您的行业监管要求与系统性质，并非所有企业都有强制义务。定级对象与等级的确定需要结合业务类型与数据敏感程度来判断，我们在咨询项目中会协助梳理定级对象、准备备案材料并做差距分析，让测评前的准备更有针对性。

出问题之后的应急响应包含什么？

应急响应包括影响面研判、取证留痕、遏制、清除、业务恢复与溯源分析六个环节，最后输出事件报告与加固清单。重点是先取证再处置，避免清理过程中破坏证据。应急服务可以按单次事件采购，年度托管客户则预先约定响应通道，介入更快。

报告会不会看不懂？

我们的报告分为管理层摘要与技术附录两部分：摘要用非技术语言说明风险全貌与整改优先级，附录给技术团队提供复现步骤与修复细节。交付后还会安排一次讲解，现场回答疑问。您可以直接查看各服务项目页面对交付物的具体说明。

整改由谁来做？

配置类问题多数由您的运维团队按我们的建议执行，我们提供具体操作步骤；代码类漏洞可以由您的开发团队修复、我们负责方案与验证，也可以协商由我们协助实施。原则是不替客户隐瞒风险，也不做客户团队无法维护的黑盒修改，交接文档会写清每处改动的位置。

长期托管和一次性评估该选哪个？

如果您的环境变化慢、只想阶段性确认状态，一次性评估足够；如果系统持续迭代、没有专职安全人员，按月托管更划算，因为它把巡检、基线核查与告警研判变成常态。也可以先评估摸底，整改收口后转入托管，这是多数客户走过的路径，具体见选型指南。

怎么开始第一步？

给 hello@cvhex.cn 发一封邮件，说明系统数量、对外服务类型与您最担心的问题。我们在一至两个工作日内回复初步建议；如果需要，再约一次沟通细化范围。首次沟通不收费，具体流程可参考联系我们页面的四步说明。