SAST + DAST靜態與動態
相依套件已檢查也包括供應鏈風險
概念驗證我們證明每個風險
我們也能修復修復，而不只是清單
我們的應用程式安全分析涵蓋範圍
我們從程式碼到執行中的應用對您的應用程式進行測試，找出攻擊者可能利用的地方，並交給您一份依優先順序排序的計畫，或由我們修復。以下是我們涵蓋內容的一部分：
靜態程式碼分析（SAST）
對原始碼進行自動和人工審查，尋找漏洞和不安全模式。
動態測試（DAST）
執行時分析，捕捉僅在應用執行時出現的漏洞。
相依套件與供應鏈
審查第三方函式庫和套件，尋找已知和有風險的漏洞。
驗證、工作階段與存取
導致帳戶遭接管的驗證、工作階段管理和授權缺陷。
注入與輸入處理
針對 SQL 注入、XSS、命令注入及其他基於輸入的攻擊進行測試。
API 與資料安全
API 端點、速率限制、資料暴露，以及傳輸中和靜態資料的加密。
我們的流程
1
靜態程式碼審查
我們逐行分析您的原始碼，尋找安全缺陷、邏輯錯誤和不安全模式。
2
動態測試
我們測試執行中的應用程式，尋找僅在執行時出現的漏洞。
3
相依套件與供應鏈稽核
我們審查第三方函式庫和相依套件，尋找已知漏洞和授權風險。
4
風險報告與修復計畫
我們記錄每項發現，並附上嚴重程度、影響和逐步修復說明。
5
修復與驗證
如果您選擇完整方案，我們將修復漏洞、強化程式碼與配置、把安全測試接入 CI/CD，並在 30 天後再次檢查。
申請報價
請告訴我們您的應用程式情況。沒有任何義務，只有來自我們英國工程團隊的誠實技術建議。我們將在一個工作日內回覆。
關於應用程式安全的常見問題
什麼是應用程式安全分析？
這是對您軟體進行的深入審查，以尋找安全弱點：不安全的程式碼、易受攻擊的相依套件、驗證與存取缺陷、注入點和 API 暴露。您將獲得一份依風險分級的報告，附帶概念驗證範例和明確的修復方法。
SAST 與 DAST 有何區別？
SAST（靜態分析）在不執行程式碼的情況下審查原始碼；DAST（動態分析）測試執行中的應用程式，以捕捉僅在執行時出現的問題。我們兩者並用，再加上人工審查，因為每種方法都能發現其他方法遺漏的問題。
你們只報告問題，還是能修復它們？
兩種選項都有。分析方案提供報告；完整方案意味著我們修復漏洞、改善安全架構、強化配置、把安全測試加入您的 CI/CD，然後再次檢查。
這是滲透測試嗎？
有重疊，但更深入。滲透測試著重於從外部利用執行中的應用；我們還從內部審查原始碼、相依套件和設計，從而找出僅靠黑箱測試會遺漏的根本原因。我們也可建議是否還值得另做一次正式的滲透測試。
你們會檢查我們的第三方函式庫和相依套件嗎？
會。供應鏈風險是外洩的主要來源，因此我們稽核您的第三方函式庫和套件，尋找已知漏洞以及有風險或已棄用的元件，並推薦安全的升級。
你們涵蓋哪些平台和語言？
我們評估 Windows、Linux 和 macOS 上的應用程式，以及廣泛的語言和框架，包括 Web、桌面、伺服器和 API 後端。告訴我們您的技術堆疊，我們會在開始前確認契合度。
測試會干擾我們正在執行的應用程式或使用者嗎？
靜態分析完全不會造成干擾。對於動態測試，我們優先使用預備環境，如果必須在生產環境測試，我們會先與您約定方式和時間，以避免對使用者產生影響。
你們如何對我們的程式碼和資料保密？
我們透過最小權限的安全存取進行工作，謹慎處理您的程式碼和憑證，並可在分享任何內容前簽署保密協議。發現結果僅私下交付給您，絕不在別處揭露。
需要多久？
取決於應用程式的規模和複雜度。在初步範圍溝通後，我們會給出清晰的時程，修復則依發現結果另行安排。
你們能把安全測試整合到我們的流水線中嗎？
可以。作為完整方案的一部分，我們可以把 SAST、相依套件掃描和其他檢查接入您的 CI/CD 流水線，使新程式碼自動接受測試，並在發布前發現問題。
我們會得到可向稽核方或客戶展示的東西嗎？
會。報告記錄了測試內容、風險評級、概念驗證和修復措施，是用於安全問卷、盡職調查以及您自身客戶的有用憑證。
報價流程是怎樣的？
告訴我們您的應用程式情況並選擇合適的選項。我們會進行評估，通常在一個工作日內向您寄送範圍固定的客製報價。免費且無任何義務。
相關閱讀
關於測試、安全程式碼以及將安全融入交付流水線的指南。