「等保通知到了，不知道从哪一步入手」
主管部门的通知只写结论：哪个系统、几级、什么期限完成。定级材料怎么写、备案去哪办、整改先改什么，通知里都没有。我们按五个环节倒排时间表，先给出首月要交付的动作清单。
PENTEST · MLPS 2.0 · INCIDENT RESPONSE
湖南湘西网络安全服务
渗透测试 · 等保合规 · 应急响应
天枢云智的网络安全服务只做三件实事：在书面授权范围内测试、交付可复现的报告、给出落到配置与工单的整改路径。等保到期、系统被入侵、报告没人整改——这些卡点，我们按流程接手，湘西本地团队可现场支持。
- CISP 注册信息安全专业人员（2022）
- 参与 2022 年北京冬奥会网络安全保障
- 湘西本地团队 · 可现场支持
GB/T 22239-2019/
GB/T 28448-2019/
OWASP TOP 10/
MITRE ATT&CK/
PDCERF
PAIN POINTS / 现场声音
安全工作的七个真实卡点
下面七句话来自对接中的原话。对上任何一条，说明安全工作已经停在“知道要做、但不知道下一步”的阶段——每一条我们都有对应的接手方式。
「测完只拿到一本报告，没人告诉我怎么改」
几百页的漏洞清单压给开发，风险等级看不懂，改完也不知道算不算改好。我们的报告每条缺陷都带复现步骤、影响说明与修复建议，整改后安排复测，以复测结论闭环。
「服务器被入侵，先隔离还是先取证说不清」
运维的直觉反应是断网重启，证据随内存一起消失，事后无法判断横向范围。应急响应的价值在顺序：先固定快照与日志，再隔离根除。这套顺序按 PDCERF 六阶段执行并全程留痕。
「外包做的系统出了漏洞，接口没人认领」
开发商交付后不再维护，接口鉴权缺失、组件多年未升级，责任在合同里是空白。我们出面向双方出具缺陷清单与整改责任建议，把“谁的接口谁修”写进整改跟踪表。
「预算只够做一次测评，第二年就没人管了」
一次性投入换一张证书，证书之外漏洞照旧累积。把预算改成“一次整改 + 轻量托管”：整改解决存量，托管用月度巡查与告警分诊接住增量，费用结构可以按年框谈。
「出事找不到能到场的人，远程说不清楚」
异地服务商电话指导，现场网关、堡垒机、日志位置对不上号。我们办公地在湘西，本地场景直接到场处置，省内其他城市按约定排期，应急需求优先调度。
「安全投入向管理层汇报，没法量化」
“买设备”和“不出事”都没法进汇报。我们把投入翻译成可核对的数据：修复了多少高危、暴露面收窄了多少项、告警平均处置用时，月度报告直接作为汇报附件。
BASICS / 基础扫盲
六个安全基础概念，一次说清
采购安全服务之前，先弄懂这六个概念，可以少花一半的冤枉钱：知道每项服务买的是什么、不买会漏掉什么。
等级保护的五个环节
等级保护是把信息系统按受损后的危害程度分级、按级施加安全要求的制度，工作分定级、备案、建设整改、等级测评、监督检查五个环节。
流程依据 GB/T 25058-2019（具体条款以现行文本为准）。多数企业卡在第三环：知道要整改，却拿不到可执行的配置基线清单。我们把每个测评控制点翻译成工单语言。
等保 2.0 与 ISO/IEC 27001 的定位差异
等保是中国境内适用的法定制度，不落实有监管后果；ISO/IEC 27001 是国际通行的信息安全管理体系认证，证明的是组织的过程能力。
两者不能互相替代：涉外与供应链场景常看 27001，国内监管与招投标看等保。已经建了 27001 体系的企业做等保，资产管理与部分流程文档可以复用，省一轮材料工作。
渗透测试、漏洞扫描、代码审计的区别
漏扫用工具找已知漏洞，渗透由人验证利用路径，代码审计从源码找缺陷——三者输入不同，产出也不同。
扫描给清单，测试给“能不能打穿”的结论，审计给精确到函数的修复位置。新系统建议审计与渗透并行，存量系统先漏扫建立台账，再对核心资产补人工测试。
CVSS 与漏洞分级
CVSS 用 0 到 10 分量化漏洞的可利用性与影响，常见分档为低（0.1–3.9）、中（4.0–6.9）、高（7.0–8.9）、严重（9.0–10.0）。
分数不直接等于处置顺序：暴露在互联网、已有公开利用代码的中危漏洞，往往比内网的高危更急。我们按“分数 × 暴露面 × 利用条件”排修复优先级。
应急响应 PDCERF 六阶段
PDCERF 把应急响应拆成准备、检测、抑制、根除、恢复、跟踪六个阶段，是行业通用的处置框架。
多数单位在抑制阶段动作过猛：一断电证据就没了。框架的价值是把“先取证再处置”固化成流程，每次事件都留下可复盘的记录链，责任也能说清。
红蓝对抗与攻防演练的区别
渗透测试验证单点漏洞，红蓝对抗在有防守方参与的情况下持续对抗，检验的是监测、响应与团队协同能力。
演练的产出不是漏洞清单，而是“多久发现、多久处置、谁在响应”这类指标，适合已经做过渗透与整改、想检验防御体系是否真的转起来的企业。
CAPABILITIES / 能力清单
安全能力清单：渗透测试、等保合规、应急响应、代码审计与安全托管
六项能力，每项按「输入 — 动作 — 输出」写清边界。点击卡片可把对应服务带入咨询表单，不需要的服务不必问价。
安全体检（基线核查）
输入资产清单、系统账号与网络拓扑
动作基线核查、漏洞扫描、配置比对、暴露面收敛建议
输出《安全体检报告》与按优先级排序的整改清单
带入咨询表单Web / APP 渗透测试
输入授权书、测试范围清单与测试账号
动作信息收集、漏洞验证、利用链测试、业务逻辑与越权测试
输出《渗透测试报告》：风险分级 + 复现步骤 + 修复建议
带入咨询表单等保合规咨询（二级 / 三级）
输入系统定级材料、现状架构与已有制度
动作差距分析、整改方案、材料准备、测评陪检、整改闭环
输出等保全流程文档包与整改闭环记录
带入咨询表单应急响应
输入事件现象描述、可联系责任人与时间窗
动作远程或现场取证、抑制、根除、恢复顺序建议、复盘
输出《应急处置报告》与防复发加固清单
带入咨询表单安全托管（MSS）
输入资产台账、告警通道与响应级别约定
动作月度漏洞巡查、告警分诊、基线复核、应急联动
输出月度安全运营报告与年度风险台账
带入咨询表单代码审计
输入源码仓库访问权限、部署说明与依赖清单
动作静态分析加人工复审，覆盖注入、越权、硬编码密钥与组件缺陷
输出《代码审计报告》，缺陷定位到文件与函数
带入咨询表单PACKAGED PLANS / 标准方案
四个标准方案，从上线准入到年度托管
每个方案都按「问题 → 方案 → 交付物 → 验收标准」四段写。验收标准写进合同附件，做完什么算完成，双方先对齐。
新系统上线安全准入
问题新系统带着未验证的缺陷直接对互联网开放，上线后再补测，修复成本成倍放大，还挤占业务上线窗口。
方案上线前 2–4 周介入：先做基线核查与代码审计，再做一轮渗透测试，缺陷修复并复测通过后放行。
交付物《安全准入核查表》《渗透测试报告》《复测结论》。
验收标准高危及以上问题清零；中危问题给出处置时限；复测结论写入上线审批记录。
等保三级达标
问题三级系统测评项多，技术与管理双线整改，靠开发各自理解要求，容易反复补材料、反复约测评。
方案定级备案辅导 → 差距分析 → 技术整改（安全物理环境、区域边界、计算环境、管理中心）→ 制度文档配套 → 测评陪检 → 整改闭环。
交付物差距分析报告、整改方案与工单清单、制度文档包、测评配合记录。
验收标准测评机构现场测评通过；未通过项在约定期限内完成整改并复验归档。
勒索 / 挖矿应急处置
问题发现文件被加密或算力异常占用时，多数单位先断电重启，证据被覆盖，无法判断横向范围与入侵时长。
方案电话接报后远程介入：先固定内存与日志快照，再隔离受害主机，排查横向移动路径，根除后给出恢复顺序与加固清单。
交付物《应急处置报告》、入侵路径还原、防复发加固清单。
验收标准处置动作全程留痕可复盘；同类入口风险逐项确认关闭。
年度安全托管
问题等保通过后安全工作停摆：漏洞无人巡查、告警无人分诊，一年后测评到期又要从零再改一轮。
方案建立资产与风险台账，月度漏洞巡查与基线复核，告警分诊接入，季度复盘调整方向，应急按合同级别联动。
交付物月度安全运营报告、年度风险台账、下一周期改进计划。
验收标准月度报告按期交付；约定响应级别内的应急联动按时启动。
PRICING / 套餐与收费
七个安全服务套餐，区间写在明处
技术支持与顾问类工作按人天计费，区间为 1000–3000 元/人天，按人员能力分档。下面每个套餐都写明计费方式与不含项，避免报价后才谈边界。
| 套餐 | 计费方式 | 参考区间 | 交付内容 | 不含项 |
|---|---|---|---|---|
| 安全体检（基线核查） | 项目制 | 1.5–3 万/次 | 基线核查、漏洞扫描、暴露面收敛建议与整改清单 | 渗透测试、代码审计、云资源与 License |
| Web/APP 渗透测试 | 项目制 | 3–8 万/次（按资产数） | 授权范围内人工测试、风险分级报告与复测 | 社会工程、物理入侵、修复实施 |
| 等保咨询（二级） | 项目制 | 3–6 万 | 差距分析、整改方案、材料准备、测评陪检与整改闭环 | 测评机构测评费、安全产品采购 |
| 等保咨询（三级） | 项目制 | 6–12 万 | 技术与管理双线整改、制度文档配套、测评陪检 | 测评机构测评费、安全产品采购 |
| 应急响应 | 按次 + 人天 | 2–5 万/次 | 取证、抑制、根除、恢复顺序建议与复盘报告 | 数据恢复、司法鉴定、硬件更换 |
| 安全托管（MSS） | 年框 | 8–20 万/年 | 月度漏洞巡查、告警分诊、基线复核、应急联动 | 安全产品、等保测评、驻场 |
| 代码审计 | 项目制 | 3–8 万/次 | 静态分析 + 人工复审，缺陷清单与修复建议 | 第三方组件商业支持 |
以上为参考区间，用于判断投入量级。实际费用以项目范围、资产规模、交付周期、人员配置与合同约定为准。等级保护测评结论须由具备资质的测评机构出具，我方承担咨询与整改配合。
DELIVERY / 交付流程
五步交付，每一步都有可核对的产出
安全服务的风险在“过程黑箱”：做了什么、留下什么证据说不清。我们把每一步的产出物固定下来，中途随时可查进度。
-
01
需求与授权
明确目标系统、测试范围、时间窗与禁止动作，签署授权书与保密协议。没有书面授权不动手，这一步也用来对齐双方联系人。
产出《授权书》《保密协议》
-
02
资产梳理与范围确认
清点域名、IP、端口、账号体系、接口与第三方组件，确认哪些在范围内、哪些明确排除，避免测试触线或漏测。
产出《资产与范围确认单》
-
03
实施与取证
按范围实施测试或整改动作，操作留痕：截图、请求响应、时间线与变更记录，形成可回放的证据链。
产出测试记录与证据链
-
04
报告与复测
出具报告：风险分级、复现步骤、影响说明、修复建议。修复完成后安排复测，验证修复是否真正生效。
产出《渗透测试报告》《复测结论》
-
05
整改复验归档
整改逐项验证后归档，未闭环项写入跟踪表并给出下一轮计划，形成可延续的风险台账。
产出《整改闭环报告》
STANDARDS / 标准与依据
我们工作对照的标准与法规
判断一个安全服务商是否靠谱，看它引用什么干活。下面是我们日常对照的标准、法规与知识库，版本以现行有效文本为准。
| 编号 / 名称 | 性质 | 我们怎么用 |
|---|---|---|
| GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》 | 国家标准 | 整改与配置核查的对照基线，测评控制点逐条落到工单 |
| GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》 | 国家标准 | 理解测评打分口径，反向排整改优先级，减少反复测评 |
| GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》 | 国家标准 | 辅助定级论证与备案材料准备 |
| GB/T 25058-2019《信息安全技术 网络安全等级保护安全设计技术要求》 | 国家标准 | 建设整改方案与安全技术框架设计参照 |
| 《网络安全法》《数据安全法》《个人信息保护法》 | 法律 | 明确合规义务边界，约束测试与整改中的数据处理方式 |
| OWASP Top 10（当前版本年份需核实） | 社区参考 | Web 渗透测试用例分类与报告风险归组参考 |
| CVE / CNVD / CNNVD 漏洞库 | 漏洞编号库 | 漏洞编号、危害描述与受影响版本核对来源 |
| MITRE ATT&CK | 攻击技战术知识库 | 入侵路径还原、排查清单与红蓝对抗场景设计 |
MISCONCEPTIONS / 常见误区
五个常见误区，每年都在重复
这些判断不纠正，预算会持续花在错误的位置。每条都给出实际情况与对应的处理方式。
误区一：装了 WAF 就算做了安全
WAF 挡的是已知特征流量，拦不住弱口令、越权访问、供应链投毒与内网横向。设备只是工具，需要有策略调优、日志有人看、告警有人分诊，否则只是合规清单上的一个名字。
误区二：过了等保就一劳永逸
等级测评反映的是测评时点的状态，系统一迭代、组件一升级、人员一变动，风险面就变了。等保之后需要的是持续运营：漏洞巡查、基线复核与变更时的安全确认，托管服务就是为此设计的。
误区三：报告越厚越专业
几百页的扫描器原始输出，开发不会看，管理层更不会看。报告的价值在结论可执行：风险分级、复现步骤、修复建议、复测结果，一页能看完的摘要加上可跟踪的工单清单，比厚度有用。
误区四：内网系统不用测
勒索与挖矿事件的大多数路径都是从一台办公终端进入内网再横向移动。内网的弱口令、老旧组件与无鉴权接口，恰恰是攻击链中段的关键环节，重要系统的内网侧同样要纳入范围。
误区五：开源组件不用管
开源组件的已知漏洞有公开的编号与利用代码，攻击者与你是同一时间看到通告的。依赖清单要纳入资产台账，高危组件通告出来后按暴露面排升级，代码审计也会覆盖第三方组件缺陷。
AUTHORIZATION / 服务边界
授权是安全测试的前提
我们不做未授权测试，也不接受“先测了再说”的委托。授权书把双方责任写清楚，测试过程才有法律与商业上的安全边界。
授权书必须写明的四要素
缺一个要素，测试就存在失控风险：范围不清会测到别人的系统，时间窗不明会撞上业务高峰，禁止动作不约定可能影响生产，数据处理方式不定会留下合规隐患。
同样地，我们对外交付的案例表述一律使用「典型场景 · 匿名」：说明处置思路与验证方法，不披露可关联到具体单位的任何信息。
- 测试范围域名、IP 段、系统名称、测试账号与明确排除的对象，逐项列出，口头约定无效。
- 时间窗起止日期与每日可测时段，避开业务高峰与重保静默期，变更需书面确认。
- 禁止动作例如不停机、不删改数据、不爆破真实用户口令、不做社会工程，按系统承载能力逐条约定。
- 数据处理方式测试中截取的截图、日志与样本如何脱敏、保存多久、何时销毁，谁有权限接触。
TEAM / 团队与资质
重保视角的资质与经历
天枢云智（tsyzai.com）以网络安全为主业方向之一，办公地在湖南湘西。我们更看重把重保任务里的工作习惯带回日常交付：每一步动作有预案、有记录、可复盘。
了解公司全部业务线（AI 应用、数字化系统、云原生运维与技术顾问），请访问公司官网。
CISP 注册信息安全专业人员
创始人张鹏于 2022 年取得 CISP（注册信息安全专业人员）认证。在重保与应急场景，持证意味着受过成体系的攻防与应急训练：先取证、再抑制、动作可复盘，而不是凭直觉处置。
北京冬奥会网络安全保障
张鹏参与 2022 年北京冬奥会网络安全保障工作。重保期间的判断标准是预案先行：每个操作都有对应预案与升级路径，处置节奏服从整体指挥。这套习惯被我们带回日常项目。
归属边界：个人资质不等同于公司独立客户案例。湖南天枢云智科技有限公司成立于 2025 年 9 月，对外交付以合同范围与验收记录为准。
渗透测试多少钱一次？
按资产数量与测试深度计价，参考区间为 3–8 万元/次。报价前先清点域名、IP、应用与账号体系，资产越多、越涉及业务逻辑与 APP 双端，工作量越大。明显低于区间下限的报价通常意味着只跑一遍工具，不覆盖利用链验证与人工复测。
等保二级和三级有什么区别？
区别在系统受损后侵害的客体与程度：三级系统受损会对社会秩序与公共利益造成严重损害，或侵害到国家安全；二级对应的是一般损害。等级越高，安全要求越多、测评越严、整改投入越大，定级依据 GB/T 22240-2020。
等保测评流程一共几步？
五个环节：定级、备案、建设整改、等级测评、监督检查。定级与备案是企业侧动作，等级测评由具备资质的测评机构实施，监督检查由主管部门开展。咨询方的作用集中在建设整改与材料准备，测评结论以测评机构出具为准。
渗透测试和漏洞扫描有什么区别？
漏洞扫描是工具比对特征库，输出已知漏洞清单；渗透测试是由人员在授权范围内模拟真实攻击，验证漏洞能否串联成可利用的攻击路径。扫描覆盖面广、成本低，测试回答的是“能不能被打穿”。两者通常配合使用，先扫后测。
漏洞扫描能代替渗透测试吗？
不能。扫描器发现的是与特征库匹配的已知漏洞，识别不了弱口令组合、业务逻辑缺陷、越权访问与多漏洞组合利用。等保与重保场景通常要求人工渗透验证。预算有限时可以先做漏扫建立台账，再对核心系统补渗透测试。
代码审计主要审什么？
审计源码中的注入、越权、反序列化、硬编码密钥、敏感信息输出以及第三方组件的已知缺陷，覆盖 Web 应用、接口与后台任务。输出按风险分级的缺陷清单与修复建议，位置精确到文件与函数，开发可以按单子直接改。
服务器被入侵后第一步做什么？
先保全证据，再做处置。直接断网、重装、改口令会覆盖内存与日志，导致无法判断入侵范围与横向移动路径。合理顺序是：保留现场快照、收集日志与进程信息、判断是否有其他主机被波及，再隔离处置。我方提供按次计费的应急响应通道。
渗透测试授权书要写什么？
四个要素：测试范围（域名、IP、系统与账号）、时间窗（起止日期与可测时段）、禁止动作（例如不停机、不删数据、不对真实客户做社工）、数据处理方式（截图与日志的去留和销毁）。没有书面授权不实施，这既是行业底线，也是法律边界。
等保咨询公司和测评机构是什么关系？
测评机构出具等级测评结论，咨询方不能替代测评，也不能自己测自己整改的系统。咨询方负责差距分析、整改方案、材料准备、测评陪检与整改闭环，目标是让整改一次到位，把投入花在整改上而不是反复测评上。选择时看整改方法与过程记录，而不是看口头承诺。
安全托管一年 8–20 万，值不值？
拆开服务内容看：常态漏洞巡查、告警分诊、月度基线复核、应急联动与月度报告。自建同等能力至少需要一名专职安全工程师，全年招聘与管理成本通常高于托管区间。已通过等保、系统数量在五套以上的企业延续性更好；系统很少时可以先按次采购。
应急响应包含数据恢复吗？
不包含。应急响应覆盖取证、抑制、根除与恢复顺序建议，也就是把入侵者清出去、把入口堵上、给出按优先级的恢复顺序。被加密数据的解密恢复、司法鉴定与硬件更换属于独立事项，需另行安排，这些都会在报价的不含项里写明。
你们公司在哪，能到现场吗？
办公地在湖南湘西（湘西土家族苗族自治州），面向湘西、吉首、张家界、长沙及全省开展业务。湘西本地场景可现场支持，省内其他城市按约定排期到场，远程事项当日响应。应急类需求优先处理，可先电话说明现象再定到场方式。
CONTACT / 联系
约一次沟通，或直接走应急通道
填表会生成一份需求摘要（只在当前页面生成，不存储、不上传），通过电话或微信发给我们即可进入排期。应急类需求请直接打电话。
