01
每一条都经过人工审核
自动采集只是起点。每条结果都会被打开，对照代码或响应逐一验证，确认之后才进入报告。扫描器给出的内容不会被直接搬进我们署名的文件。
我们的做法
三条原则，不接受妥协。
02
每一条都可以复现
每条结论均附有产生它的请求或命令，以及原始输出。你可以自行复现。无法复现的内容不会写入报告，即便其外观高度可信。
03
不制造噪音
报告只收录经过确认的问题，数量通常控制在十余项以内。高危项不超过三条，排序依据是当前是否可被实际利用，而不是所标注的严重等级。
扫描器
- 几百条结果
- 未经分诊，直接列出
- 无法确认某条结果的含义
- “此处可能存在问题”
Northwall
- 十几条结论
- 每一条均已确认
- 报告上注明检查人
- “当前即可被利用”
覆盖范围容易声称，却难以验证。真正重要的是：客户追问时，每一条结论是否仍然成立。
检查内容
八个部分、三十二项检查，全部在系统外部完成，无需提供任何账号。
域名与证书证书到期、HTTPS 强制、域名续费、邮件认证
对外暴露开放端口、管理后台、.git 泄露、备份文件、调试接口
账号与认证弱口令、登录限速、会话配置、密码重置
数据暴露存储桶权限、公开数据库、可下载的备份、导出限制
代码与密钥硬编码密钥、仓库凭证泄露、source map、锁文件
依赖有漏洞的依赖、停止维护的框架、过期的镜像
日志与备份日志中的敏感数据、备份能否真正恢复
AI 特有风险模型密钥暴露、调用代理认证、提示注入面、工具权限
交付物
三份文件。
给人看
结论页
一页纸：覆盖范围、风险数量、修复期限。可以直接转发，不需要额外解释。
存档用
报告
五页，按客户所用语言出具。三十二项检查全部列出，包括通过的项，因此这份文件呈现的是检查了什么，而不只是哪里出了问题。
被追问时
证据包
每一项结论背后的原始输出与截图，附一份可重复执行的脚本。对方问依据时，发这个。
下载报告样例
客户报告默认不公开。只有在客户书面同意，或项目本身开源的情况下，我们才会公开。
适用情况
多数评估的起因，是客户提出了要求。
客户发来安全问卷
对方提出约两百项问题，需要有人作答，且答案须有证据支持。
投标或融资
尽职调查必然会涉及安全。临时准备的材料通常不足以支撑。
上线之前
在客户发现之前识别暴露的数据库，成本低于被发现之后处理。
基于模型 API 的产品
密钥、调用代理与工具权限属于较新的暴露面，也常被忽略。
服务
两种合作方式。
一次性
安全体检
¥499
单次评估，适用于当前即需要一份报告的团队。
- 三十二项外部检查
- 四十八小时内交付报告
- 七日内一次复检
长期
季度订阅
¥2,999/季
适用于被反复要求提供安全证据、需要持续保持材料有效的团队。
- 四十四项检查，比体检多十二项
- 每季度重新评估一次
- 问卷支撑材料，每季度更新
年付 ¥9,999，比按季支付省约 ¥2,000。修复实施另行报价。
流程
1
联系我们
提供域名后，我们会回复评估范围与时间窗口。
2
确认范围
书面确认范围之后才开始，范围之外的部分不测。
3
评估
先自动采集，再人工复核。无法复现的内容不写进报告。
4
交付
四十八小时内交付报告，一次讲解，一次复检。
常见问题
和扫描器有什么区别？
扫描器返回几百条结果，把判断留给你。我们只写已经确认的部分，通常十几条。区别不在覆盖范围，而在责任：报告上有署名，每一条都能复现。
需要给我们系统权限吗？
不需要。所有检查都从外部完成，只针对攻击者能接触到的部分。如果你需要包含内网的评估，那是另一类项目，我们会直接说明。
需要多久？
从确认范围起两个工作日，开始之后四十八小时内交付。
这是合规认证吗？
不是。我们不提供认证。我们做的是：在你为审计付费之前，先确定你实际暴露在哪里。审计机构要流程文档，我们给技术事实。两者不冲突，也不能互相替代。
能保证没有漏洞吗？
不能，任何评估都是抽样。我们能保证的是：每一条都经过验证、可以复现。没有检查到的项会写“未覆盖”，不会写成“通过”。
如果什么都没发现呢？
报告会如实写明，并列出检查过的项目。一份没有问题的简短报告，同样可以呈交客户。
关于
Northwall 是一家独立的安全工作室。每一份评估都由在报告上署名的人完成，不转包。
我们不销售安全产品，也不代理任何厂商。我们卖的只有评估本身。
工作中英双语，主要服务五至五十人的团队。