安全众测

奇安信“补天全众测”产品由“补天漏洞响应平台 + 企业众测服务”构成，面向客户系统提供定向渗透测试与漏洞生命周期管理。以下信息仅描述技术细节与流程，无商业宣传。

一、平台资源  

1. 白帽池：实名+人脸+手机三因子认证，注册≈10 万人，可筛选标签（SRC 排名、CVE 数量、擅长领域）。  

2. 情报库：日更 2 万条漏洞情报、GitHub/网盘泄露监控、全网资产测绘数据。

二、服务流程  

1. 需求澄清  

  客户在线提交《众测需求表》（系统类型、资产清单、测试范围、合规要求），平台 1 个工作日完成访谈并输出《技术测试方案》。  

2. 项目排期  

  系统根据方案自动匹配≥30 名白帽（可追加至 200 人），生成《测试授权书》与《保密协议》，电子签署后生效。  

3. 接入与审计  

  • VPN 统一接入 + 跳板机，流量镜像全留存 180 天；  

  • 请求级审计：实时比对 ATT&CK 模型，高危动作（数据导出、提权操作）自动告警并冻结账号。  

4. 漏洞闭环  

  • 白帽提交→平台机审（去重、误报过滤）→客户复审→状态流转（已修复/已忽略）；  

  • 每漏洞字段：CVSS、复现包、定位截图、修复建议、代码 diff；  

  • 支持不限次复测，复测通过后关闭工单。  

5. 交付  

  项目结束输出《众测总结报告》（漏洞矩阵、攻击路径图、修复优先级、复测结论），附 JSON/CSV 原始数据。

三、技术能力  

1. 资产中心  

  自动解析域名、IP、端口、服务、指纹，生成动态资产树；支持 API 增量同步 CMDB。  

2. 漏洞中心  

  支持 300+ CWE、OWASP Top 10 分类；内置 SLA 计时器（P1 72h、P2 7d、P3 30d）。  

3. 仪表盘  

  实时滚动漏洞、白帽贡献、修复进度；可按业务系统、资产分组、漏洞等级多维度钻取。  

4. 集成接口  

  RESTful / Webhook 双向对接 Jira、禅道、ServiceNow、企业微信；支持 OAuth2.0 单点登录。

四、部署与合规  

• SaaS：公有云多租户隔离，数据驻留可选华北-2、华东-2、华南-1；  

• 私有化：K8s Helm Chart 交付，最小规格 8C32G×3 节点；  

• 认证：通过 SOC 2 Type II、ISO 27001、等保三级测评。

五、计费模型  

结果制：按有效漏洞数阶梯计价；项目制：按资产规模与周期一口价，均含不限次复测和应急响应 7×24 热线。