洞察

写给亚洲运营商的安全工程手记。

不讲概念，讲范围、证据和归属：哪些东西该测、谁来负责、牌照方与合作银行要看什么。英文版有九十余篇长文，可随时切换阅读。

博彩平台收银台安全测试：签合同前要核对的测试用例清单

在线博彩平台的渗透测试，收银台部分到底该测什么：存款、提款、红利引擎、收银 API、后台特权操作五类共二十条用例。签约前拿它对照供应商的范围书，就知道“收银台”是真被测，还是只写在报价单上。

正在比较几家 DDoS 防护服务的报价？先别看价格，核对报价单上有没有这七行：覆盖哪几层、常驻还是按需、缓解时钟的起止、容量与超量、源站是否可被直打、攻击时谁来接、事后给什么报告。缺一行的报价没法比。

搜索 DDoS 压测，结果里既有正规测试公司，也有按小时卖攻击流量的打压服务。怎么分辨两者，以及一份真正的测试报价必须写清哪些条款。

应急响应预留（IR Retainer）的报价单常常把真正决定价值的条款藏起来。签字前必须写清四件事：预付小时怎么算、用不完怎么办、超出后每小时多少钱、响应计时何时开始何时结束，以及什么情况可以启动。

比较托管 SOC 报价时，先核对七行内容：监控范围、计价基础、检测规则归属、响应权限、接入期安排、日志数据条款与退出条款。只给月费和响应时间的报价，没法横向比较。

加密货币交易所的渗透测试该怎么定范围：哪些资产必须单独命名（热钱包与托管、撮合引擎、链上出入金、后台面板、KYC），测试授权规则如何保证不动到真实资金，三档价格怎么选，报告里有什么。

手里有两三份渗透测试报价却看不出差别？先核对七行：计价单位、测试工时、提供的账号与角色、测试授权规则、谁来测、报告里有什么、含不含复测。七行写清了才能比价，否则比的只是数字。

私有 Anycast 网络只有在注册机构记录写着您的名字时才真正属于您。服务商报价单必须写清 ASN 与 IP 段的注册持有人、路由授权（LOA）与路由对象归谁控制、硬件与机房合同在谁名下，以及退出时怎么交接。

CIS 基线扫描、加固脚本、加固项目，三样东西都叫“服务器加固服务”，交付的却完全不同。本文讲清每一种给您什么，以及签字之前能把它们区分开的八个问题。

漏洞评估回答“我哪里暴露”，渗透测试回答“攻击者能不能真的打进来”。一个是广度、一个是深度；一个给你修复清单，一个给你攻击复现。博彩与 iGaming 平台怎么按自己的触发条件选，多数时候两个都要、但有先后。