有烟台做SaaS的老板问我：系统上线三年了，要不要做安全测试？我的答案是：要，而且别等出了事才做——渗透测试就是给系统做体检，漏在攻之前补，费用是事故损失的零头。烟台的线上系统不少，做过正规安全测试的凤毛麟角。
不测试的系统什么样
漏洞不会自己消失：上线时的老组件、三年间迭代新增的接口、中途离职工程师留下的调试后门，都在积累风险。攻击者用自动化工具全网扫，你的系统有没有洞，人家比你先知道。安全这件事的残酷在于：补漏的时间以小时计，而攻击者的尝试以年计。
渗透测试三步走
第一步扫描普查：自动化工具全站扫一遍，低垂的果实先摘。第二步渗透深挖：人工测试模拟真实攻击路径，逻辑漏洞、越权访问这类工具扫不出的，人工才测得出。第三步报告整改复测：风险按严重程度分级，逐项整改，改完复测关闭——没有复测的测试等于没测。三步走完，系统的风险水位就是明账。
频率和范围怎么定
对外系统一年至少一次；大版本上线、新增支付或敏感接口后加测一次。范围先对外的后内部的，预算有限的先测最值钱的资产。信服无限网做软件和安全类项目，交付前有自动化测试加代码审查加安全审计的门禁，上线后的年度渗透同样建议保留——安全是一直做，不是做一次。烟台信服无限给本地企业做安全评估与渗透测试，按系统规模评估一案一价，报告与整改建议一起交付。
渗透测试的常见疑问
会影响线上业务吗？
约定测试窗口和强度，破坏性测试在测试环境做，线上业务无感。
多少钱？
按系统数量和深度评估，扫描普查数千元级，人工渗透一案一价。
测出问题谁改？
报告含整改建议，我方可整改后复测，也可交你原开发团队按清单修。
总结
烟台企业做渗透测试，扫描普查、渗透深挖、整改复测三步走，一年一次定期体检，漏在攻之前补。把你的系统清单给烟台信服无限，先定测试范围和窗口。体检费再贵，也贵不过一次事故。