Что мы делаем
Проверяем безопасность веб-приложений, API и инфраструктуры, подтверждаем риски и помогаем устранить уязвимости.
Что проверяем
Веб-приложения, личные кабинеты и API: аутентификация, управление сессиями, разграничение доступа, обработка входных данных, конфигурация и бизнес-логика. Для инфраструктуры проверяем внешний периметр и, при предоставленном доступе, внутренние сетевые сервисы и границы доверия. Конкретные системы, адреса, роли и исключения включаем в согласованный перечень объектов.
Формат под задачу
В формате black box оцениваем объект без внутренних сведений. Gray box предусматривает ограниченный доступ, например тестовые учётные записи разных ролей. White box включает архитектуру, конфигурацию и, по договорённости, исходный код. Формат выбираем по цели проверки, зрелости системы и доступному времени; отдельно фиксируем глубину и критерии завершения.
Сначала — границы и правила работ
До начала тестирования согласуем разрешение владельца, перечень объектов, окно работ, допустимые действия, ограничения на нагрузку, контакты для экстренной связи и порядок обращения с доказательствами. Разрушающие действия, социальная инженерия и нагрузочные испытания не включаются автоматически: для них необходимы отдельные условия. При обнаружении критичного риска оперативно уведомляем назначенного ответственного.
Автоматизация и ручная проверка
Автоматизированные проверки дополняем ручным анализом, чтобы отделить реальные риски от ложных срабатываний и проверить сценарии, связанные с ролями и бизнес-процессами. Для веб-приложений используем категории проверок OWASP WSTG как основу плана, адаптируя его к объекту. Сохраняем минимально необходимые доказательства и согласуем обращение с тестовыми и рабочими данными.
Отчёт, который помогает исправить
Для каждой подтверждённой находки описываем затронутый объект, условия возникновения, доказательства, влияние, оценку риска и рекомендации. Приоритет учитывает доступность системы, важность данных и ограничения среды. Техническую часть дополняем резюме для руководства и планом исправлений; обсуждаем результаты с разработчиками и ответственными за инфраструктуру.
Повторная проверка после исправлений
После устранения уязвимостей повторно проверяем согласованные находки и фиксируем, какие риски закрыты, какие сохраняются и какие ограничения влияют на результат. Пентест отражает состояние системы в определённый момент и в установленном объёме. Его полезно включать в цикл разработки и повторять после значимых изменений архитектуры, доступа или функциональности.
Работы и результаты
- Пентест веб-приложений и API
- Внешний и внутренний пентест инфраструктуры
- Проверка аутентификации, ролей и бизнес-логики
- Ручная проверка найденных уязвимостей
- Оценка влияния и приоритизация рисков
- Рекомендации по устранению и повторная проверка
Стоимость и договор
Стоимость зависит от числа объектов и ролей, глубины проверки, формата доступа, сроков и состава повторного тестирования. Границы, правила работ и обращение с доказательствами фиксируются в договоре.
Стоимость работ и ПОFAQ
Можно ли проверить систему в эксплуатации?
Да, если владелец разрешил проверку и согласованы окно, ограничения и экстренные контакты. Для рискованных сценариев может потребоваться тестовое окружение. План подбираем так, чтобы учитывать непрерывность работы системы.
Что нужно для оценки стоимости?
Перечень приложений, API и адресов, число ролей, описание архитектуры, формат black/gray/white box, ограничения и желаемые сроки. После обсуждения уточняем объём работ, состав отчёта и условия повторной проверки.