常见问题

我们已决定使用 Foundstone。首先要做的是什么？
首先对您的公司表示感谢，并且我们也希望早点开始，但在测试之前必须要先解决几个关键问题。首先也是最重要的一点，请务必准备好所有法律文书，这样我们可以安排进行测试的时间。这些文书通常包括服务协议（条款与条件）、工作说明，如果贵方的采购部门要求，则还可能包括采购订单。

最好采用哪种方式联系 Foundstone？
使用对您而言最为方便的方式联系 Foundstone。致电 949-297-5600、 发送电子邮件至 consulting@foundstone.com 或者访问我们的网站均可以联系到我们的销售人员。

是否可以修改工作范围？如果可以，如何修改？
可以。只需联系您的客户经理即可轻松修改。通常，项目范围划定是在工作说明之前进行，但也可以对现有的工作说明进行增补。

多久后启动？
Foundstone 会在项目开始日期前至少一周时间进行项目启动召集。因此，您有足够的时间安排取得良好的评估开端所需要的任何支持和技术细节。

应当由谁来负责项目启动召集以及我应当将此工作告知给谁？
具体由谁来负责项目启动召集以及需要将此项目告诉给谁，取决于评估的总体目标以及我们执行实际测试的方式。客户可能要我们在评估其网络时检查其运营团队是否得到提醒，其他客户希望在部署之前获得生产前系统处于安全状态的保证，而另外一些客户要求对其生产环境进行测试。一般来讲，我们建议您尽早将此项目告知您的同事，并全面而详尽地介绍此工作。尽早达成一致可以避免在快要开始测试时突然出现反对意见，导致测试延期进行。我们建议您考虑通知以下人员：

• 项目主要联系人或项目经理
• 网络运营代表
• 应用程序开发代表，前提是该评估涉及应用程序测试
• 信息安全代表
• 系统所有者代表
• 审计团队成员，前提是该项目是一项审计要求
• 托管机构，前提是目标网络和/或应用程序由第三方托管

具体由谁开展这项工作？Foundstone 如何管理项目？
所有技术测试均由 Foundstone 安全顾问执行。所有员工均为有劳动关系的全职员工，并且通过了全面的背景调查。我们不使用合同商。

每一项目都配备一个项目团队。您不一定接触到团队中的所有成员，但每位成员都将为项目的成功发挥重要作用。典型团队的组成人员包括：

• 负责日常测试工作的技术顾问。这些人员负责主要工作。
• 项目经理，该人员是您的主要联系人，并且负责管理项目。每个项目都配备一名项目经理，负责项目启动召集、日常更新以及交付。您的项目经理将和您一起解决各种问题。
• 区域总监，负责质量保证和审批所有最终报告。项目经理是区域总监的下属。如果项目经理碰到无法解决的难题，总监便是其在 Foundstone 中的上报人。

如果有问题或疑问，如何联系 Foundstone？
Foundstone 团队将提供参与此评估的所有团队成员的详细联系信息。在大多数情况下，项目经理可以帮助您解决所有问题，但是，如果有任何问题需要上报，您将获得区域总监和客户经理的联系信息。联系信息将与前期检查清单一起发送。

我是否可以为此工作申请特定的顾问？
如果希望特定的顾问参与工作，请尽快通知我们。如果之前没有指定顾问，我们将根据您的申请指定顾问。请相信我们和您一样，也一心要使项目取得成功，所以，我们将始终为项目配备合适的顾问，以完成项目目标。另外，Foundstone 成功的关键因素是使用成熟的方法，使我们无论配备怎样的顾问都能提供一致的结果。

开始测试时 Foundstone 需要哪些信息？
我们通常需要您提供两类信息：支持信息和技术信息。

• 支持信息：我们将在启动会议上填写一份由我们维护的前期检查清单。其中包括联系信息、差旅安排、上报流程和其他信息。
• 技术信息：具体需求依据评估类型而异，但通常包括目标 IP 或应用程序地址、策略书面文件和其他需求。Foundstone 项目经理将在启动会议前提供一份详细的需求列表。

Foundstone 能否解决我们可能碰到的所有具体问题？
当然。如果您对某些方面的评估特别关注，请告知项目经理，我们将尽一切努力替您解决这些问题。这将是 Foundstone 项目经理在启动会议上提问的第一个问题。

我们对评估流程了解多少？
在启动会议中，项目经理将详细介绍评估流程涉及的各个步骤。另外，日常更新还将包括当天所执行的项目的具体信息以及第二天的计划。项目结束时，技术报告将提供执行项目所用的方法的详细信息以及测试记录。如果需要更多详细信息，或者如果希望“全程监控”整个项目，请在启动会议之前或期间告知项目经理。我们愿意通过与您合作来满足您的请求，并且欢迎随时提问。

如果我的基础设施尚未准备好或者在测试日期停止运行了，将发生什么情况？
在计划项目时，我们将和您合作帮助您了解取得成功所必备的条件。这包括上面所列的技术和支持信息。如果这些信息不可用，或者系统在测试开始日停止运行，一般情况下，我们无法继续下一步工作。您应当核对具体的条款与条件。通常，这将产生违约成本，同时，您的项目也将再次提交，并且可能造成延期。您有责任确保前期检查清单中所要求的项目准备妥当，否则 Foundstone 将不能安排项目开始。

测试在每天的什么时间进行？
对于大多数的测试，通常我们都是在您所在地的正常工作时间进行。这样，万一发生了高风险问题，便于我们即时联系您。我们确实会使用一些在一段时间后才能运行的自动扫描工具，因此，这些工具通常会在夜间运行。我们可以远程访问我们所有的评估服务器，因此，如果需要，我们可以即时停止扫描。如果需要，我们还可以将许多扫描工具安排为只在特定时间段运行。我们可以调整定时，但是，请注意，如果时间段限制过度，则会影响到工具的效果以及我们可以在评估期提供的结果。如果您的测试需要在正常工作时间之外进行，则应当在启动召集之前，尽快通知项目经理。

如果 Foundstone 获得访问权限，那么利用该访问权限的行为是否会破坏其他系统？
如果我们获得了访问某系统的权限，我们会停止该测试流程，并截图以证明我们获得的访问权限级别。我们向您提供此信息，并和您一起共同判定您是否要追加更多测试以弄清您的组织所面临的风险。

评估后多长时间我能看到结果？
在整个评估期间，我们将通过初步测试结果文档提供每日更新，该文档详细介绍到当时为止发现的所有问题。这些测试结果所采用的格式与我们报告的技术部分中提供的格式相同，因此，您看到的结果将与最终报告中提供的结果几乎完全相同。另外，如果发现任何可能允许攻击者通过未授权方式访问系统或敏感数据的高风险问题，将即时提供这些结果，而不是等到第二天每日更新时再提供。在测试结束后，我们通常会在五个工作日内提供报告草样。

最终交付物都包含什么？
标准的最终交付物是技术报告，该报告包含一份执行摘要和在项目期间收集的所有原始数据。检查与任何其他交付物相关的工作说明，例如,技术演示、执行演示或认证说明。 除此之外，我们还可以提供自定义报告，例如,包含测试结果的逗号分隔文件。

从报告中我可以看到哪些内容？
技术报告提供了详细的项目信息，包括评估范围、识别出的有问题的地方、识别出的漏洞、帮助修补漏洞的战术性和战略性建议、项目期间收集的详细记录以及执行评估所遵循的方法。

执行摘要中包含一个项目高级视图，其中包括项目范围的简短说明、测试结果概述、一组战略性建议以及针对所评估的各个方面的安全报告卡（将组织与行业平均水平相比较）。

如果您对报告还有其他要求，请在启动会议之前或期间告知项目经理。对于大多数在开始评估之前提出的申请，我们都可以满足。

在报告最终出来之前，我是否可以先看看？
可以。我们将提供所有报告的草稿（Microsoft Word 格式），并请您在五个工作日之内提供反馈。之后，我们会根据要求进行修改，然后，生成最终报告。如果在五个工作日结束时，我们没有收到您的任何意见，则我们将认定您没有任何反馈，并将草稿制作成最终报告。通常，我们只能对报告作一组更改，因此，请务必以书面形式一次性向我们提供您的所有反馈和详细意见，这样，我们便可以解决您的所有疑问。

在解决了评估过程中发现的问题之后，Foundstone 是否还要对这些问题再重新测试一次？
如果希望增加重新测试，请联系客户经理，以便客户经理将这一要求添加到工作说明中，从而确保到时候有合适的资源可用。

Foundstone 将采取什么措施确保我们信息的安全？
在项目过程中，所有存储在笔记本电脑中的客户信息均将进行 PGP 加密。这是对顾问笔记本电脑硬盘采用的全盘加密的补充。凡是与您交流所用的电子邮件，只要包含测试结果或其他敏感信息，都将加密。只与您指定的员工成员讨论漏洞。在项目结束后，将使用安全的删除实用程序清除笔记本电脑中的所有客户信息，并且最终报告也将集中归档。

测试过程中是否会出现停机故障？
Foundstone 为了确保该评估不导致任何停机故障，采取了诸多措施。因 Foundstone 评估而导致停机故障的情况很少出现，但不能完全排除这种可能性。请告知项目经理任何对可用性要求较高的资产，Foundstone 将妥善处理。这些资产应当在前期检查清单上注明。

是否要进行任何侵入测试？
我们不运行任何已知会导致拒绝服务的自动化工具、攻击或脚本，无论拒绝服务是攻击的主要目标还是副作用。我们大多数的应用程序评估都使用人工流程执行，并且我们所有的自动扫描全都以非侵入模式运行。对于某些原有的网络设备，这种非侵入式扫描导致问题的风险很小。

在 Foundstone 执行测试的过程中，是否必须停止对应用程序的更新？
为了执行彻底全面的测试，为 Foundstone 提供访问稳定的测试环境的权限非常重要。这可以提高工作效率，避免任何意外的延迟。在测试进行过程中，我们希望您不要对应用程序进行任何更改。注意：这仅适用于我们的软件和应用程序安全服务。

项目结束的标志是什么？
一旦获得了最终技术报告和执行摘要，即说明项目评估结束。Foundstone 会召开一次结束会议，详细说明测试结果和建议，并解决所有尚未解决的问题。之后，Foundstone 将请您在项目活动报告 (EAR) 和反馈表上签字。

假如我在结束会议之后遇到问题，我该怎么办？
我们鼓励客户就任何后续问题联系我们。来自 Foundstone 团队的成员将尽快为您解决问题。

关于后续工作，我该与谁联系？
如有任何后续工作请求和提议，请联系客户经理或项目经理。有关他们的联系信息，请查阅项目前期清单。