案例
可以公開的證據。
暫時未有客戶標誌。我們可以放在你面前的，是報告範本、一次去識別化評審中的六項發現、三個實驗室項目，以及每個項目都會交付的檔案清單。
交付物
樣本就是產品。
每個項目都以這份文件作結。以下六項發現來自一次去識別化評審；項目大小不會改變文件的結構。
- 每項發現都附重現步驟，你的開發人員可以親眼看到它失敗
- 用你的說法寫業務影響，CVSS 只佔一欄，不是結論
- 每項修正都指定負責人，並附工作量估算
- 結案前，複測結果記錄在同一份檔案之內
去識別化是指報告不會出現客戶名稱、主機名稱或數據。你在付費之前，就可以先讀一份。
Session Cookie 缺少
Secure 與 SameSite高管理後台無需 MFA 即可進入高
密碼重設 token 有效期 72 小時中
SPF 允許未驗證的寄件人中
每晚備份沒有還原測試的記錄中
伺服器 banner 洩露版本低
6 項發現 · 同一範本 · 包含複測
參考項目
三個網站項目，全程計時。
每一個都在我們自己的基礎設施上進行，對象是一個真正運作的網站，而不是一份簡報。請把它們視為方法的證據，而不是客戶案例。
參考項目
實驗室環境
WooCommerce 商店，三個網站，14 個外掛
問題。三個網站的外掛版本已經各自不同，每晚的備份也從未還原過。一次失敗的更新就會令商店停擺，而且沒有確認過的還原路徑。
交付
- 三個網站全部做一次加固
- 用正式環境的備份做還原測試
- 90 日修補與更新計劃
工期 · 9 日
參考項目
實驗室環境
品牌網站重建與主機搬遷
問題。一個 12 頁的網站，用已經停止維護的頁面編輯器建立，沒有預覽副本，而網址已經排名三年。沒有轉址對照表就搬主機，等於把流量抹掉。
交付
- 在 WordPress 上重建，並沿用舊網址對照表
- 301 轉址與 DNS 切換，附回滾
- 上線前後各做一次爬取檢查
工期 · 12 日
參考項目
實驗室環境
被入侵的 WooCommerce 商店復原
問題。結帳頁被植入側錄信用卡的程式、Google Safe Browsing 警告，而主機商已經停用帳戶。老闆的備份就放在同一部伺服器上。
交付
- 隔離網站、移除惡意程式碼、更換所有憑證
- 找出入侵點並修補
- Search Console 復原與 30 日觀察
工期 · 4 日
工期以工作日計算。5 日與 7 日的範圍對應我們的標準保安評估；9 日的 WooCommerce 範圍則屬度身訂造的項目。整份內容不涉及客戶資料、正式環境存取或可辨識的名稱。
交付檔案
交付甚麼，哪一天交付。
每個評估都以同樣六份檔案作結。建站項目會用交接包取代發現報告，日期則隨範圍調整。
| 檔案 | 內容 | 時間 |
|---|---|---|
| scope.md | 資產、時間範圍、不包括的項目，以及簽核人姓名 | 動工前 |
| exposure-inventory.csv | 域名、子域名、對外暴露的服務與 TLS 狀態 | 第 3 日 |
| findings.pdf | 重現步驟、業務影響、修正、負責人、工作量與嚴重程度 | 第 5 日 |
| 90-day-roadmap.md | 現在、下一步、之後，附工作量估算與相依關係 | 第 5 日 |
| retest.md | 已經結案的、未結案的，以及兩者的證據 | 30 日內 |
| close-out.pdf | 一頁寫明測試了甚麼、還有甚麼未處理 — 可以直接轉寄給客戶 | 30 日內 |
月費方案會以每月報告與變更記錄取代最後兩份檔案。我們不會交付一個要你自己解讀的儀表板。
發布原則
這一頁永遠不會出現的東西。
三樣東西，各有各的原因。
- 客戶標誌。這裡一個都沒有。付了錢，不等於授權公開。
- 客戶推薦。一句好話也要書面同意，所以我們指向報告，而不是指向別人的讚美。
- 編出來的指標。沒有「已修好發現的百分比」，也沒有樣本太小、根本不能取平均的回應時間。
當客戶真的允許公開，案例研究只會寫測試過的資產、日期、已修正的發現，以及被接受不修的發現 — 除此之外，不會多寫。