你的系統，
有沒有看不見的破洞？

一次看四個地方：對外的網站與服務、公司內部系統的設定與權限、資料庫、程式源碼。AI 先把整套系統快速掃過一輪、列出可能的破口，再在你授權的範圍內實際驗證，最後由人工重現確認，不是丟一份掃描清單給你。

最後交付一份看得懂的風險分級報告，每個問題都寫清楚：

• 問題在哪裡：哪個網址、哪台主機，或哪一段程式。
• 有多嚴重：依高、中、低分級，並說明被利用後可能造成什麼後果。
• 怎麼修：具體的修補方法，以及建議先修哪一個。

弱點掃描像健康檢查報告，列出「可能」有問題的地方；滲透測試則是在你授權的範圍內，真的試著從那個破口進去，確認風險是不是真的存在、影響有多大。

只做掃描，常會拿到一長串分不出輕重的清單。智盾兩者都做：先全面掃過，再針對真正有風險的地方實際驗證。

不會。AI 負責把費時的工作做快、做全面：

• 讀程式：逐行讀完整套程式碼與設定檔，標出可疑的寫法。
• 比對漏洞資料：比對已公開的漏洞資料，找出你用到的軟體與套件有沒有中。
• 模擬攻擊：用攻擊者常用的手法，逐一試探可能的破口。

每一個風險都會在授權範圍內實際驗證，再由人工重現確認。報告裡寫的是確認過真的存在的問題，不是 AI 的猜測。

從攻擊者的角度，看你的網站和對外開放的服務有哪些地方能被利用：

• 加密與憑證：HTTPS 有沒有設好、憑證會不會快過期、瀏覽器該有的安全設定有沒有開。
• 對外開著的門：主機開放了哪些服務，有沒有不該公開的後台、測試頁或管理介面。
• 登入防護：登入頁能不能被一直猜密碼、有沒有次數限制，忘記密碼的流程會不會被濫用。
• 洩漏的資訊：錯誤訊息會不會露出系統版本或程式路徑，有沒有備份檔、設定檔可以被直接下載。
• 過時的軟體：伺服器、網站框架或外掛的版本，是否已有公開的漏洞。

很多問題不是駭客從外面硬闖進來，而是門本來就沒關好：

• 帳號與密碼：有沒有預設密碼、弱密碼，或離職員工的帳號還能登入。
• 權限給太大：一般人員的帳號能不能進管理功能、看到不該看的資料。
• 主機與雲端設定：雲端儲存空間有沒有設成公開、管理後台有沒有開兩步驟驗證、遠端連線是不是對所有人開放。
• 資料庫有沒有對外：資料庫能不能從外網直接連進來、有沒有沿用預設帳密、連線帳號的權限是否過大。
• 敏感資料怎麼存：密碼、個資有沒有加密保存，備份檔有沒有放在別人拿得到的地方。

從外面掃，只看得到系統的門面；有些問題要打開程式才看得到。源碼檢測主要看這幾類：

• 程式寫法的漏洞：最基本的 SQL 注入與 XSS 一定看。前者是有人從輸入欄位塞進指令，直接讀走或竄改資料庫；後者是在網頁裡塞進惡意程式，盜用其他使用者的登入。
• 權限檢查漏寫：程式有沒有確認「這個人能不能看這筆資料」，避免改個網址就看到別人的訂單或個資。
• 檔案上傳與下載：上傳功能能不能被拿來放惡意檔案，下載功能能不能被拿來讀主機上的其他檔案。
• 寫死在程式裡的鑰匙：資料庫密碼、雲端或金流服務的連線金鑰、管理員帳號。程式碼只要外流或轉手，這些鑰匙就跟著一起出去。
• 已經外洩的帳密與憑證：找出已經暴露、應該馬上更換的密碼與金鑰。
• 有漏洞的第三方套件：系統用到的現成元件，有沒有已經公開的漏洞。外包開發、交接過好幾手、多年沒更新的系統，最常藏這類問題。

每個發現都會列進風險分級報告，附上優先修補建議；需要的話，奧微也能直接幫你改。

不用等出事才做。只要符合下面任何一種，就值得檢查一次：沒有專職的資安人員；系統是外包做的，或交接過好幾手；網站或系統裡存著客戶資料、會員資料或交易紀錄。

特別是從來沒做過完整檢查的中小企業，查一次就知道現在的風險在哪、該先處理哪一個，心裡有底。

平常營運不受影響。大部分檢測只「讀」不「改」，不會動到你的資料；需要實際測試攻擊的部分，會先跟你約好範圍和時段，可以安排在離峰時間或測試環境進行。

依系統大小與檢測範圍而定，一般幾個工作天內完成，並交付風險分級報告。

不會，任何檢測都做不到。系統會改版、套件會出現新漏洞、帳號權限會隨人員異動，檢測反映的是「做的那個時間點」的狀態。

建議在系統大改版、更換外包廠商之後，或固定每年做一次複測，確認修好的地方沒有再出問題。

可以，這也是智盾和一般檢測服務最大的不同。很多檢測只交一份報告，看不懂、也找不到人修；奧微本身就是軟體開發團隊，報告裡的問題可以直接交給我們處理，例如：

• 修程式：補上輸入檢查與權限檢查，修掉 SQL 注入、XSS 這類漏洞。
• 換鑰匙：更換已外洩的密碼與金鑰，改成不寫死在程式裡的保存方式。
• 更新套件：把有漏洞的套件升到安全版本，並確認系統照常運作。
• 調設定：關掉不必要對外的服務，收緊帳號權限、資料庫與雲端設定。

修完可以再驗證一次，確認問題真的解決。修補範圍依需求另議。