01
由持证白帽骇客亲自模拟攻击
每场测试由 UD 内部团队执行，不外判第三方。攻击者用什么手法，我们同样用什么手法，先一步发现你的漏洞。
什么是渗透测试？
业务的年度体检，而不是事故后的急救。
渗透测试是委托白帽骇客（道德骇客）针对你的系统模拟真实攻击，在攻击者之前主动发掘并排序漏洞。
线上与实地测试均可安排，覆盖网站、网络、流动应用、企业内网与操作系统，并提供合规验证报告格式。
为何香港企业选择 UD 渗透测试
02
报告直接对应监管与审计要求
按 OWASP Top 10、PTES、NIST SP 800-115 执行，可对应 ISO 27001 Annex A、PCI-DSS 11.3、PDPO 第 4 原则及 HKMA TM-G-1 / TM-E-1，方便交付审计师与董事会。
03
含复测验证，确认修补才结案
就每项已识别漏洞重新测试、签发修补确认函（Clearance Letter），给予量化的风险下降证明；报告附 CVSS、商业影响与修补优先级。
04
结合 AI 智能，效率与深度兼得
AI 加速资产探索、漏洞关联、误报过滤与攻击路径模拟，让专家集中于最高风险的业务逻辑与复杂攻击链。每项关键漏洞最终仍由 OSCP 级工程师人手验证，AI 负责量，专家负责质。
05
香港本地实战，敏感资料不离境
自 1998 年服务逾 4,000 间香港与跨国企业，银行新网站上线审计、NGO 募捐平台权限漏洞、大型节庆后台、学校年度审计皆有案例。100% 本地团队、内部直聘。
团队持有 17 项 网络安全国际认证
我们可以为你测试什么
覆盖企业常见六大攻击面，按 OWASP、PTES、NIST 方法论执行，并依你的合规对象调整报告格式。范畴横跨多层面亦可出整合方案。
网站应用程序
公司网站、后台系统、SaaS、Web API 与支付流程
流动应用程序
iOS、Android App 与 Mobile API、SDK 整合
网络基础设施
对外 IP、防火墙、VPN、DNS 与云网络边界
企业内部网络
Active Directory、文件 / ERP / CRM 与员工端点
操作系统
Windows、Linux、macOS、容器与虚拟化平台
合规验证
按 ISO 27001、PCI-DSS、HKMA 等标准出具报告
标准化测试流程
整个周期约 4–5 周01
会议与范围界定
确认目标、资产与授权范围，签署测试规约（RoE）。
02
情报搜集与扫描
商用扫描器建立基线，AI 引擎关联漏洞、过滤误报。
03
手动测试与利用
白帽骇客验证 OWASP、提权、横向移动等可利用性。
04
报告与解说会
交付含 CVSS、PoC、修补建议的报告并安排解说。
05
重新测试（复测）
复测已修补漏洞，签发修补确认函。
哪些业务适合采用
任何持有大量个人信息、处理付款，或高度依赖系统稳定性的机构，都应将渗透测试纳入年度安全预算，尤其受 PDPO、PCI-DSS、HKMA、SFC、ISO 27001 监管者。
银行与金融
保险公司
上市公司 / IPO
医院与诊所
学校与教育
政府资助 NGO
航空与旅游
电商与 SaaS
最佳实务 · 每季漏洞扫描、每年渗透测试；属 DPO 范围的机构额外配合 SRAA。三者并非互斥。
渗透测试 vs 漏洞扫描
两者互补而非互斥，最佳实务为每季扫描配合每年渗透测试。
取得报价或查询
无论你想索取正式报价，还是一般查询，UD 安全专家将于 尽快与你联络，协助界定范围、估算工时，并提供专属报价。
专人跟进回覆
范围界定会议后提供正式报价
建议方案无束缚，可分阶段启用
常见问题
渗透测试与漏洞扫描有何分别？
漏洞扫描为自动化持续检测，覆盖面广但深度有限，主要识别已知 CVE；渗透测试则由白帽骇客手动深入模拟攻击，会将多个低风险漏洞串成完整攻击链，并验证业务逻辑漏洞。最佳实务为每季漏洞扫描配合每年渗透测试；属 DPO 机构级审计请另行考虑 SRAA。
如何取得报价？需要提供什么资料？
提交页底查询表单，注明目标系统类型（网站、流动应用、网络、内网、红队等）、大致规模（页面数、用户角色、API endpoint 数）、合规需求与预计时间，UD 安全专家将尽快回覆并安排范围界定会议，会议后提供正式报价。
渗透测试会否影响线上业务？
我们会于范围界定阶段协调测试时段及手法。高风险动作（如 DoS 模拟、暴力破解）会避开繁忙时段或于预备环境执行；常规 OWASP 测试对生产环境的影响可控制于极低水平。所有测试前签署测试规约，明确界定不允许的操作。
应该多久进行一次？什么时机最有效？
建议至少每年一次。下列时机应另行追加：新系统或新网站上线前、重大架构变更后（如云迁移、核心系统升级）、合规审计前（ISO 27001、PCI-DSS、HKMA）、收购合并前的尽职审查，以及可疑事故发生后的复盘。
测试报告可否直接交予外部审计师或监管机构？
可以。我们的报告格式符合 OWASP、PTES、NIST 国际标准，并可按需要对应至 ISO 27001 Annex A、PCI-DSS Requirement 11.3、HKMA TM-G-1、HKPDPO 第 4 原则，曾被跨国银行、上市公司审计、隐私专员公署等场景引用。
渗透测试可否保证系统免受攻击？
无法保证绝对安全，此为业内诚实答案。渗透测试为特定时间点、特定范围的快照式评估。要达致持续安全，建议配合 MSSP 24×7 托管监控、定期漏洞扫描与员工钓鱼电邮测试。
内部 IT 已有人手，仍需外判渗透测试吗？
需要。其一，独立性原则：内部团队测试自身系统存在利益冲突，外部测试方具审计效力；其二，攻击视角专业度：白帽骇客每年处理过百宗委托，掌握最新攻防技术；其三，合规要求：PCI-DSS、ISO 27001 等明确要求由具独立性的第三方执行。
用了 AI 智能，是否会牺牲测试深度或可靠性？
不会。AI 在 UD 流程中只负责加速重复性高的工序，资产探索、漏洞关联、误报过滤、攻击路径模拟，把人手时间留给真正需要判断力的部分。每一项中、高风险漏洞最终都由 OSCP 级白帽骇客人手验证，并附概念验证、重现步骤与修补建议。简单讲：AI 负责量，专家负责质。