01
由持證白帽駭客親自模擬攻擊
每場測試由 UD 內部團隊執行，不外判第三方。攻擊者用甚麼手法，我們同樣用甚麼手法，先一步發現你的漏洞。
甚麼是滲透測試？
業務的年度體檢，而不是事故後的急救。
滲透測試是委託白帽駭客（道德駭客）針對你的系統模擬真實攻擊，在攻擊者之前主動發掘並排序漏洞。
線上與實地測試均可安排，覆蓋網站、網絡、流動應用、企業內網與操作系統，並提供合規驗證報告格式。
為何香港企業選擇 UD 滲透測試
02
報告直接對應監管與審計要求
按 OWASP Top 10、PTES、NIST SP 800-115 執行，可對應 ISO 27001 Annex A、PCI-DSS 11.3、PDPO 第 4 原則及 HKMA TM-G-1 / TM-E-1，方便交付審計師與董事會。
03
含複測驗證，確認修補才結案
就每項已識別漏洞重新測試、簽發修補確認函（Clearance Letter），給予量化的風險下降證明；報告附 CVSS、商業影響與修補優先級。
04
結合 AI 智能，效率與深度兼得
AI 加速資產探索、漏洞關聯、誤報過濾與攻擊路徑模擬，讓專家集中於最高風險的業務邏輯與複雜攻擊鏈。每項關鍵漏洞最終仍由 OSCP 級工程師人手驗證，AI 負責量，專家負責質。
05
香港本地實戰，敏感資料不離境
自 1998 年服務逾 4,000 間香港與跨國企業，銀行新網站上線審計、NGO 募捐平台權限漏洞、大型節慶後台、學校年度審計皆有案例。100% 本地團隊、內部直聘。
團隊持有 17 項 網絡安全國際認證
我們可以為你測試甚麼
覆蓋企業常見六大攻擊面，按 OWASP、PTES、NIST 方法論執行，並依你的合規對象調整報告格式。範疇橫跨多層面亦可出整合方案。
網站應用程式
公司網站、後台系統、SaaS、Web API 與支付流程
流動應用程式
iOS、Android App 與 Mobile API、SDK 整合
網絡基礎設施
對外 IP、防火牆、VPN、DNS 與雲端網絡邊界
企業內部網絡
Active Directory、檔案 / ERP / CRM 與員工端點
操作系統
Windows、Linux、macOS、容器與虛擬化平台
合規驗證
按 ISO 27001、PCI-DSS、HKMA 等標準出具報告
標準化測試流程
整個週期約 4–5 週01
會議與範圍界定
確認目標、資產與授權範圍，簽署測試規約（RoE）。
02
情報蒐集與掃描
商用掃描器建立基線，AI 引擎關聯漏洞、過濾誤報。
03
手動測試與利用
白帽駭客驗證 OWASP、提權、橫向移動等可利用性。
04
報告與解說會
交付含 CVSS、PoC、修補建議的報告並安排解說。
05
重新測試（複測）
複測已修補漏洞，簽發修補確認函。
哪些業務適合採用
任何持有大量個人資料、處理付款，或高度依賴系統穩定性的機構，都應將滲透測試納入年度安全預算，尤其受 PDPO、PCI-DSS、HKMA、SFC、ISO 27001 監管者。
銀行與金融
保險公司
上市公司 / IPO
醫院與診所
學校與教育
政府資助 NGO
航空與旅遊
電商與 SaaS
最佳實務 · 每季漏洞掃描、每年滲透測試；屬 DPO 範圍的機構額外配合 SRAA。三者並非互斥。
滲透測試 vs 漏洞掃描
兩者互補而非互斥，最佳實務為每季掃描配合每年滲透測試。
取得報價或查詢
無論你想索取正式報價，還是一般查詢，UD 安全專家將於 盡快與你聯絡，協助界定範圍、估算工時，並提供專屬報價。
專人跟進回覆
範圍界定會議後提供正式報價
建議方案無束縛，可分階段啟用
常見問題
滲透測試與漏洞掃描有何分別？
漏洞掃描為自動化持續檢測，覆蓋面廣但深度有限，主要識別已知 CVE；滲透測試則由白帽駭客手動深入模擬攻擊，會將多個低風險漏洞串成完整攻擊鏈，並驗證業務邏輯漏洞。最佳實務為每季漏洞掃描配合每年滲透測試；屬 DPO 機構級審計請另行考慮 SRAA。
如何取得報價？需要提供甚麼資料？
提交頁底查詢表單，註明目標系統類型（網站、流動應用、網絡、內網、紅隊等）、大致規模（頁面數、用戶角色、API endpoint 數）、合規需求與預計時間，UD 安全專家將盡快回覆並安排範圍界定會議，會議後提供正式報價。
滲透測試會否影響線上業務？
我們會於範圍界定階段協調測試時段及手法。高風險動作（如 DoS 模擬、暴力破解）會避開繁忙時段或於預備環境執行；常規 OWASP 測試對生產環境的影響可控制於極低水平。所有測試前簽署測試規約，明確界定不允許的操作。
應該多久進行一次？甚麼時機最有效？
建議至少每年一次。下列時機應另行追加：新系統或新網站上線前、重大架構變更後（如雲端遷移、核心系統升級）、合規審計前（ISO 27001、PCI-DSS、HKMA）、收購合併前的盡職審查，以及可疑事故發生後的復盤。
測試報告可否直接交予外部審計師或監管機構？
可以。我們的報告格式符合 OWASP、PTES、NIST 國際標準，並可按需要對應至 ISO 27001 Annex A、PCI-DSS Requirement 11.3、HKMA TM-G-1、HKPDPO 第 4 原則，曾被跨國銀行、上市公司審計、私隱專員公署等場景引用。
滲透測試可否保證系統免受攻擊？
無法保證絕對安全，此為業內誠實答案。滲透測試為特定時間點、特定範圍的快照式評估。要達致持續安全，建議配合 MSSP 24×7 託管監控、定期漏洞掃描與員工釣魚電郵測試。
內部 IT 已有人手，仍需外判滲透測試嗎？
需要。其一，獨立性原則：內部團隊測試自身系統存在利益衝突，外部測試方具審計效力；其二，攻擊視角專業度：白帽駭客每年處理過百宗委託，掌握最新攻防技術；其三，合規要求：PCI-DSS、ISO 27001 等明確要求由具獨立性的第三方執行。
用了 AI 智能，是否會犧牲測試深度或可靠性？
不會。AI 在 UD 流程中只負責加速重複性高的工序，資產探索、漏洞關聯、誤報過濾、攻擊路徑模擬，把人手時間留給真正需要判斷力的部分。每一項中、高風險漏洞最終都由 OSCP 級白帽駭客人手驗證，並附概念驗證、重現步驟與修補建議。簡單講：AI 負責量，專家負責質。