服务内容
从您最需要的环节入手。
可以只做一次审核，也可以改进整体应用安全流程。
应用安全现状
检查已有做法和难点，确定值得先改的地方。
威胁建模
在设计阶段识别资产、信任边界和可能的滥用方式。
设计与代码审核
检查关键实现和假设，留下能用于修复的说明。
开发流水线
把代码、依赖项和密钥等检查放在合适的位置。
漏洞管理
明确接收、排序、负责人和修复确认的流程。
开发者指导
编写团队可复用的安全实现示例和审核清单。
工作方式
先看团队怎么交付软件。
增加审批或新工具前，先弄清楚现在的问题在哪里。
摸清流程
检查架构、仓库、发布路径和责任人。
选择检查
确定必要的审核节点与标准。
和团队试用
在真实工作中试行并解决不便之处。
持续调整
根据重复问题和修复情况改进。
交付内容
留下能用的结果。
设计或代码审核会在适合的范围内参考OWASP ASVS、CWE等资料，说明问题、这里为何重要以及可以怎么改。
流程改进会留下约定的步骤、指南和责任分工。若要从攻击者角度评估运行中的系统，可选择渗透测试。
适合咨询的情况
这些情况适合找我们谈。
问题发现得太晚
重要问题总在发布前或客户审核时才出现。
工具结果太多
无法判断先处理什么，也不清楚由谁修复。
同类漏洞反复出现
逐个修复，却没有改变导致问题的开发方式。
常见问题
关于应用安全咨询。
范围会结合代码库和开发流程确定。
可以委托哪些工作？
威胁建模、设计与代码审核、开发流程改进、漏洞处理等。
能改进现有的应用安全体系吗？
可以。我们会看现有工具和流程，找出没有起作用的检查及处理瓶颈。
能只做源代码审核吗？
可以。根据代码库和关注的风险确定范围。
与渗透测试有什么不同？
应用安全咨询改进日常开发方式；渗透测试在约定时间内验证运行中的系统。
告诉我们开发中哪里最难处理。
可以从一次审核开始，也可以讨论持续改进。