Analizy automatyczne
Co tydzień analizujemy systemy i środowiska określone w zakresie. Specjalista przegląda wyniki, a Ty otrzymujesz dowody, priorytety i wskazówki, jak usunąć luki.
Określ zakres
Twój zespół bezpieczeństwa ofensywnego, w sposób ciągły.
Pentesty łączy specjalistów i własne technologie w programie bezpieczeństwa ofensywnego dopasowanym do Twojego produktu i biznesu. Łączymy pentesty, Red Team, analizy automatyczne i inne usługi z naszego portfolio zgodnie z Twoimi ryzykami i celami, śledząc zmiany w produkcie i postęp poprawek.
Zbudujmy Twój program bezpieczeństwaTwój produkt wyznacza zakres.
Każda praca zaczyna się od Twojego kontekstu: produktu, ryzyk i priorytetów. Na tej podstawie budujemy dopasowany zakres i kierujemy testy na to, co może zagrozić Twojej działalności, danym i zaufaniu klientów.
Pentest
WebAplikacje, uwierzytelnianie, uprawnienia i logika biznesowa. Oceniamy przepływy, na których opiera się Twoja działalność.
APIAutoryzacja, ekspozycja danych, integracje i izolacja między użytkownikami i organizacjami.
MobileAplikacje Android i iOS, pamięć lokalna, komunikacja i integracje objęte zakresem.
InfrastrukturaSieci wewnętrzne i zewnętrzne, usługi, tożsamości i urządzenia podłączone, w tym kamery i bramki. Oceniamy bezpieczeństwo zasobów sieciowych określonych w zakresie.
ChmuraKonta i projekty w chmurze, uprawnienia, odsłonięte zasoby i relacje zaufania między usługami.
Red Team
- Ciągły Red TeamNasz zespół prowadzi cykliczne symulacje ataków, przegląda cele z Twoim zespołem i weryfikuje poprawki między ćwiczeniami.
- Emulacja przeciwnikówScenariusze oparte na istotnych zagrożeniach, które pokazują, jak Twoja obrona reaguje na techniki przewidziane w ćwiczeniu.
- Inżynieria społecznaSymulacje oceniające, jak Twój zespół rozpoznaje próby manipulacji i oszustwa oraz na nie reaguje, według uzgodnionych scenariuszy i limitów.
- Włamanie fizyczneTesty dostępu fizycznego włączone w scenariusze Red Team, z lokalizacjami, celami i limitami uzgodnionymi z Twoim zespołem.
- Kampanie phishingoweUzgodnione symulacje mierzące rozpoznawanie i zgłaszanie prób oszustwa oraz wskazujące usprawnienia w ludziach, procesach i kontrolach.
Jak pracujemy
01
Kontekst i priorytety
Poznajemy Twój produkt, ryzyka dla biznesu i Twoje cele. Razem wybieramy usługi i określamy zakres, dostępy, ograniczenia i rytm programu.
02
Testy ze specjalistami i własnymi technologiami
Przeprowadzamy testy i ćwiczenia przewidziane w zakresie. Nasze własne technologie wspierają analizę, a nasi specjaliści weryfikują dowody i oceniają wpływ na Twój biznes.
03
Wyniki i wskazówki naprawcze
Przedstawiamy wyniki i ustalamy priorytety poprawek według wpływu. Twój zespół otrzymuje dowody i wskazówki do wdrożenia zmian, w tym prompt naprawczy dla każdego wyniku.
04
Retesty i kolejny cykl
Weryfikujemy poprawki w uzgodnionych retestach i odnotowujemy zmiany w wynikach. Z Twoim zespołem przeglądamy priorytety, aby zaplanować kolejny cykl i uwzględnić zmiany w produkcie.
Zbudujmy Twój program bezpieczeństwa
Zestaw usług, rytm i głębokość testów są określane w zakresie programu i przeglądane z Twoim zespołem, gdy zmieniają się ryzyka i priorytety.
Jasność przy podejmowaniu decyzji. Dowody potrzebne do poprawek.
Otrzymujesz dowody zweryfikowane przez specjalistów i priorytety poprawek powiązane z wpływem na Twoją firmę, z głębokością i formatem dopasowanymi do programu lub projektu.
Poznaj naszą metodykęPodsumowanie dla zarząduPrzykładowa platforma
Trzy priorytety na tę rundę
Poniższe ryzyka dotyczą danych klientów i negocjacji umów. Pierwszy punkt należy naprawić przed następnym wydaniem.
- Eksport danych bez kontroli dostępuRyzyko ujawnienia danych klientówWysoki
- Sesje pozostają ważne po zmianie hasłaRyzyko przejęcia kontaŚredni
- Szerokie uprawnienia konta usługiZwiększa skutki ewentualnego nieuprawnionego dostępuŚredni
Raport technicznyPrzykładowe ustalenie · CVSS 8.6
Eksport danych dostępny między organizacjami
Uwierzytelniony użytkownik może wyeksportować rekordy innej organizacji, zmieniając identyfikator w żądaniu.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <token organizacji 2093> HTTP/2 200 rekordy innej organizacji
Zalecenie: sprawdzać na serwerze, czy użytkownik należy do wskazanej organizacji, zanim eksport zostanie wygenerowany.
Pokrycie i ograniczeniaPrzykładowa platforma
Co oceniono i w jakich warunkach
- Aplikacja webowa i uwierzytelnianieTestowano z dwoma profilami dostępuOceniono
- Publiczne API v2Środowisko testoweOceniono
- Webhooki płatnościBrak danych dostępowych partnera w oknie testowymNierozstrzygnięte
- Aplikacja AndroidPoza zakresem tej rundyNie objęto
Weryfikacja poprawekPrzykładowy retest
Co zmieniło się od ostatniej rundy
- Eksport danych między organizacjamiŻądanie zwraca teraz 403Naprawiono
- Sesje po zmianie hasłaSesje mobilne nadal pozostają aktywneWymaga uwagi
- Uprawnienia konta usługiUprawnienia ograniczone do niezbędnychNaprawiono
Prompt naprawczyPrzykładowe ustalenie
Gotowe dla Twojego zespołu lub narzędzia AI
Kontekst: ścieżka GET /api/v2/orgs/:id/export nie sprawdza, czy użytkownik należy do wskazanej organizacji. Zadanie: dodaj weryfikację na serwerze, przed wygenerowaniem eksportu, i zwróć 403, gdy użytkownik nie jest członkiem. Jak zweryfikować: powtórz żądanie z tokenem innej organizacji i potwierdź 403. Następnie potwierdź, że uprawnieni członkowie nadal eksportują normalnie.
Twój zespół sprawdza i wdraża zmianę. Retest potwierdza wynik na warunkach umowy.
Treść poglądowa. Głębokość i format są ustalane dla Twojego programu lub projektu.
Najczęstsze pytania
Masz pytania? Napisz do nas na support@pentesty.co
Jakie usługi oferuje Pentesty?
Oferujemy pentesty Web, API, Mobile, infrastruktury i chmury, analizy automatyczne oraz ćwiczenia Red Team, w tym emulację przeciwników, inżynierię społeczną i phishing. Łączymy usługi w program cykliczny lub pojedynczy projekt, zgodnie z uzgodnionym zakresem.
Czym różni się Pentest od Red Team?
Pentest bada podatności w określonym zakresie. Red Team symuluje działania atakującego, aby ocenić, jak reagują Twoje zespoły i kontrole. W programie ciągłym przeglądamy cele z Twoim zespołem, prowadzimy uzgodnione kampanie i śledzimy poprawki. Ćwiczenia mogą łączyć emulację przeciwników, inżynierię społeczną, phishing i włamanie fizyczne.
Jak Pentesty korzysta z własnych technologii?
Nasze własne technologie wspierają specjalistów w badaniu podatności i pogłębianiu analiz. To oni weryfikują dowody, oceniają wpływ na Twój produkt i ustalają priorytety poprawek według ryzyka dla Twojej firmy.
Co otrzymam na koniec pracy?
Otrzymujesz podsumowanie dla zarządu i raport techniczny. Każde ustalenie zawiera dowody, priorytet i zalecenia dotyczące poprawek. Twój zespół sprawdza i wdraża zmiany. Prezentujemy wyniki, a w przypadku Red Team także ścieżki ataku i to, jak Twoje zespoły i kontrole zareagowały na testy.
Ile to kosztuje i ile trwa?
Inwestycja, terminy i częstotliwość zależą od systemów, ryzyk, celów i głębokości pracy. Usługi, zakres, harmonogram, rezultaty i warunki retestu określamy w ofercie przed rozpoczęciem.
Jak działa program cykliczny?
Zaczynamy od ryzyk i celów Twojej firmy, aby określić, które usługi z naszego portfolio mają sens na każdym etapie. W trakcie programu przeglądamy priorytety z Twoim zespołem, badamy podatności i weryfikujemy uzgodnione poprawki. Połączenie usług, częstotliwość prac i retesty określamy w ofercie.
Czy mogę zamówić pojedynczy projekt?
Tak. Jeśli chcesz ocenić system, zbadać konkretne ryzyko lub przeprowadzić określone ćwiczenie, możemy przygotować pojedynczy projekt. Zakres, termin, rezultaty i warunki retestu uzgadniamy w ofercie.
Czy retest jest wliczony?
Retest sprawdza poprawki uzgodnionych ustaleń. To, czy jest wliczony, jego termin, liczbę rund i limity określamy w ofercie. Nowe zasoby lub istotne zmiany mogą wymagać nowego zakresu.
Czy raport pomaga w audytach i compliance?
Dowody mogą wspierać audyty i oceny zgodności. Przyjęcie zależy od wymagania, zakresu i oceny audytora. Raport nie poświadcza zgodności ani nie gwarantuje zatwierdzenia dla ISO 27001, SOC 2, PCI DSS czy LGPD.
Jak testy są autoryzowane i prowadzone?
Przed wykonaniem uzgadniamy autoryzację, zasoby, dozwolone techniki, okna czasowe, kontakty i warunki przerwania. Inżynieria społeczna i działania fizyczne mają własne limity. Sposób postępowania z dowodami uzgadniamy z klientem.
Określmy zakres dla Twojego produktu.
Porozmawiaj z naszymi specjalistami o swoim produkcie, ryzykach i priorytetach. Razem określimy pracę, która ma sens dla Twojej firmy.
Zbuduj mój program