Автоматизированные проверки
Каждую неделю мы проверяем системы и среды, определённые в охвате. Специалист анализирует результаты, а вы получаете доказательства, приоритеты и рекомендации по устранению уязвимостей.
Определить охват
Ваша команда наступательной безопасности, на постоянной основе.
Pentesty объединяет специалистов и собственные технологии в программе наступательной безопасности, адаптированной к вашему продукту и бизнесу. Мы сочетаем пентесты, Red Team, автоматизированные проверки и другие услуги в зависимости от ваших рисков и целей, отслеживая изменения продукта и ход исправлений.
Составим вашу программу безопасностиВаш продукт определяет охват.
Каждая работа начинается с вашего контекста: продукта, рисков и приоритетов. На этой основе мы формируем индивидуальный охват и направляем тесты на то, что может поставить под угрозу вашу работу, данные и доверие клиентов.
Pentest
WebПриложения, аутентификация, права и бизнес-логика. Мы оцениваем процессы, на которых держится ваша работа.
APIАвторизация, раскрытие данных, интеграции и изоляция между пользователями и организациями.
MobileПриложения Android и iOS, локальное хранение, обмен данными и интеграции в охвате.
ИнфраструктураВнутренние и внешние сети, сервисы, учётные записи и подключённые устройства, включая камеры и турникеты. Мы оцениваем безопасность сетевых активов, определённых в охвате.
ОблакоОблачные аккаунты и проекты, права, открытые ресурсы и доверительные отношения между сервисами.
Red Team
- Непрерывный Red TeamНаша команда проводит регулярные симуляции атак, пересматривает цели вместе с вашей командой и проверяет исправления между упражнениями.
- Эмуляция противникаСценарии на основе актуальных угроз, чтобы оценить, как ваша защита реагирует на техники, предусмотренные учением.
- Социальная инженерияСимуляции: как ваша команда распознаёт манипуляции и мошенничество и реагирует на них, по согласованным сценариям и ограничениям.
- Физическое проникновениеТесты физического доступа в рамках сценариев Red Team, с местами, целями и ограничениями, согласованными с вашей командой.
- Фишинговые кампанииСогласованные симуляции: как сотрудники распознают мошенничество и сообщают о нём, и что улучшить в людях, процессах и контроле.
Как мы работаем
01
Контекст и приоритеты
Мы изучаем ваш продукт, риски для бизнеса и ваши цели. Вместе выбираем услуги и определяем охват, доступы, ограничения и периодичность программы.
02
Тестирование со специалистами и собственными технологиями
Мы проводим тесты и упражнения, предусмотренные охватом. Наши собственные технологии помогают в исследовании, а специалисты проверяют доказательства и оценивают влияние на ваш бизнес.
03
Находки и рекомендации по исправлению
Мы представляем находки и расставляем приоритеты исправлений по степени влияния. Ваша команда получает доказательства и рекомендации для внедрения изменений, включая промпт для исправления каждой находки.
04
Повторные проверки и следующий цикл
Мы проверяем исправления в согласованных повторных тестах и фиксируем изменения по находкам. Вместе с вашей командой пересматриваем приоритеты, чтобы спланировать следующий цикл с учётом изменений продукта.
Составим вашу программу безопасности
Набор услуг, периодичность и глубина тестирования определяются в охвате программы и пересматриваются с вашей командой по мере изменения рисков и приоритетов.
Ясность для решений. Доказательства для исправлений.
Вы получаете доказательства, подтверждённые специалистами, и приоритеты исправлений, связанные с влиянием на ваш бизнес, с глубиной и форматом, определёнными для вашей программы или проекта.
Узнать о нашей методологииОбзор для руководстваПример платформы
Три приоритета этого раунда
Риски ниже затрагивают данные клиентов и переговоры по контрактам. Первый пункт следует исправить до следующего релиза.
- Экспорт данных без контроля доступаРиск раскрытия данных клиентовВысокий
- Сессии остаются действительными после смены пароляРиск захвата аккаунтаСредний
- Широкие права сервисного аккаунтаУсиливает последствия возможного несанкционированного доступаСредний
Технический отчётПример находки · CVSS 8.6
Экспорт данных доступен между организациями
Аутентифицированный пользователь может экспортировать записи другой организации, изменив идентификатор в запросе.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <токен организации 2093> HTTP/2 200 записи другой организации
Рекомендация: проверять на сервере, что пользователь принадлежит запрошенной организации, прежде чем формировать экспорт.
Охват и ограниченияПример платформы
Что было оценено и на каких условиях
- Веб-приложение и аутентификацияПротестировано с двумя профилями доступаОценено
- Публичный API v2Тестовая средаОценено
- Платёжные вебхукиНет учётных данных партнёра в окне тестированияНет вывода
- Приложение AndroidВне охвата этого раундаНе включено
Проверка исправленийПример повторного теста
Что изменилось с прошлого раунда
- Экспорт данных между организациямиТеперь запрос возвращает 403Исправлено
- Сессии после смены пароляМобильные сессии всё ещё активныТребует внимания
- Права сервисного аккаунтаПрава сокращены до необходимыхИсправлено
Промпт исправленияПример находки
Готово для вашей команды или ИИ-инструмента
Контекст: маршрут GET /api/v2/orgs/:id/export не проверяет, принадлежит ли пользователь запрошенной организации. Задача: добавьте проверку на сервере до формирования экспорта и возвращайте 403, если пользователь не является участником. Как проверить: повторите запрос с токеном другой организации и убедитесь, что сервер возвращает 403. Затем проверьте, что участники с необходимыми правами по-прежнему могут выполнять экспорт.
Ваша команда проверяет и применяет изменение. Повторный тест подтверждает результат на условиях договора.
Иллюстративное содержание. Глубина и формат определяются для вашей программы или проекта.
Частые вопросы
Остались вопросы? Напишите нам на support@pentesty.co
Какие услуги предлагает Pentesty?
Мы предлагаем пентесты Web, API, Mobile, инфраструктуры и облака, автоматизированные проверки и учения Red Team, включая эмуляцию противника, социальную инженерию и фишинг. Мы сочетаем услуги в регулярной программе или разовом проекте согласно согласованному охвату.
В чём разница между пентестом и Red Team?
Пентест исследует уязвимости в определённом охвате. Red Team имитирует действия злоумышленника, чтобы оценить, как реагируют ваши команды и средства контроля. В непрерывной программе мы пересматриваем цели с вашей командой, проводим согласованные кампании и сопровождаем исправления. Учения могут сочетать эмуляцию противника, социальную инженерию, фишинг и физическое проникновение.
Как Pentesty использует собственные технологии?
Наши собственные технологии помогают специалистам исследовать уязвимости и углублять анализ. Они проверяют доказательства, оценивают влияние на ваш продукт и расставляют приоритеты исправлений по рискам для вашего бизнеса.
Что я получу в конце работы?
Вы получаете обзор для руководства и технический отчёт. Каждая находка включает доказательства, приоритет и рекомендации по исправлению. Ваша команда проверяет и применяет изменения. Мы представляем результаты. Для Red Team мы также показываем пути атаки и то, как ваши команды и средства контроля отреагировали на тесты.
Сколько это стоит и сколько занимает времени?
Стоимость, сроки и периодичность зависят от систем, рисков, целей и глубины работы. Услуги, охват, график, результаты и условия повторного теста мы определяем в предложении до начала работ.
Как работает регулярная программа?
Мы начинаем с рисков и целей вашего бизнеса, чтобы определить, какие услуги нашего портфолио имеют смысл на каждом этапе. В ходе программы мы пересматриваем приоритеты с вашей командой, исследуем уязвимости и подтверждаем согласованные исправления. Сочетание услуг, периодичность работ и повторные тесты определяются в предложении.
Можно заказать разовый проект?
Да. Если нужно оценить систему, исследовать конкретный риск или провести определённое учение, мы можем организовать разовый проект. Охват, сроки, результаты и условия повторного теста согласуются в предложении.
Включён ли повторный тест?
Повторный тест проверяет исправления согласованных находок. Его включение, сроки, количество раундов и ограничения определяются в предложении. Новые активы или существенные изменения могут потребовать нового охвата.
Помогает ли отчёт при аудитах и комплаенсе?
Доказательства могут поддержать аудиты и оценки соответствия. Принятие зависит от требования, охвата и оценки аудитора. Отчёт не удостоверяет соответствие и не гарантирует одобрение по ISO 27001, SOC 2, PCI DSS или LGPD.
Как тесты согласуются и проводятся?
Перед началом мы согласуем разрешение, активы, допустимые техники, временные окна, контакты и условия остановки. Для социальной инженерии и физических действий действуют отдельные ограничения. Обращение с доказательствами согласуется с клиентом.
Составим охват для вашего продукта?
Обсудите с нашими специалистами свой продукт, риски и приоритеты. Вместе мы определим работу, которая имеет смысл для вашего бизнеса.
Составить мою программу