Вы получаете доказательства, подтверждённые специалистами, и приоритеты исправлений, связанные с влиянием на ваш бизнес, с глубиной и форматом, определёнными для вашей программы или проекта.
Определить охватМы изучаем ваш продукт, бизнес и цели, чтобы определить индивидуальный охват. Согласуем активы, доступы, сроки и ограничения. Ваша команда утверждает охват и готовит необходимые доступы.
Наши специалисты используют собственные технологии, чтобы ускорить исследование и углубить анализ. Они проверяют доказательства и оценивают влияние каждой находки в контексте вашего продукта и бизнеса.
Мы представляем результаты и расставляем приоритеты исправлений по влиянию на бизнес. Руководство получает приоритеты, а техническая команда получает доказательства и указания, чтобы исправить уязвимости с помощью собственных технологий.
Ваша команда внедряет исправления. Мы проверяем находки при повторном тесте и фиксируем прогресс согласно договору.
Вы получаете доказательства, подтверждённые специалистами, и приоритеты исправлений, связанные с влиянием на ваш бизнес, с глубиной и форматом, определёнными для вашей программы или проекта.
Риски ниже затрагивают данные клиентов и переговоры по контрактам. Первый пункт следует исправить до следующего релиза.
Аутентифицированный пользователь может экспортировать записи другой организации, изменив идентификатор в запросе.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <токен организации 2093> HTTP/2 200 записи другой организации
Рекомендация: проверять на сервере, что пользователь принадлежит запрошенной организации, прежде чем формировать экспорт.
Контекст: маршрут GET /api/v2/orgs/:id/export не проверяет, принадлежит ли пользователь запрошенной организации. Задача: добавьте проверку на сервере до формирования экспорта и возвращайте 403, если пользователь не является участником. Как проверить: повторите запрос с токеном другой организации и убедитесь, что сервер возвращает 403. Затем проверьте, что участники с необходимыми правами по-прежнему могут выполнять экспорт.
Ваша команда проверяет и применяет изменение. Повторный тест подтверждает результат на условиях договора.
Иллюстративное содержание. Глубина и формат определяются для вашей программы или проекта.
Специалисты и собственные технологии, чтобы исследовать уязвимости, направлять исправления и тестировать изменения вашего продукта. Мы объединяем услуги Pentesty в регулярную программу, охват и приоритеты которой определяем вместе с вашей командой.
Мы подбираем и сочетаем услуги Pentesty в индивидуальной программе, чтобы исследовать риски и следить за изменениями вашего продукта.
Оценка под конкретную задачу, с услугами, охватом и сроками, определёнными до начала тестов.
Остались вопросы? Напишите нам на support@pentesty.co
Мы предлагаем пентесты Web, API, Mobile, инфраструктуры и облака, автоматизированные проверки и учения Red Team, включая эмуляцию противника, социальную инженерию и фишинг. Мы сочетаем услуги в регулярной программе или разовом проекте согласно согласованному охвату.
Пентест исследует уязвимости в определённом охвате. Red Team имитирует действия злоумышленника, чтобы оценить, как реагируют ваши команды и средства контроля. В непрерывной программе мы пересматриваем цели с вашей командой, проводим согласованные кампании и сопровождаем исправления. Учения могут сочетать эмуляцию противника, социальную инженерию, фишинг и физическое проникновение.
Наши собственные технологии помогают специалистам исследовать уязвимости и углублять анализ. Они проверяют доказательства, оценивают влияние на ваш продукт и расставляют приоритеты исправлений по рискам для вашего бизнеса.
Вы получаете обзор для руководства и технический отчёт. Каждая находка включает доказательства, приоритет и рекомендации по исправлению. Ваша команда проверяет и применяет изменения. Мы представляем результаты. Для Red Team мы также показываем пути атаки и то, как ваши команды и средства контроля отреагировали на тесты.
Стоимость, сроки и периодичность зависят от систем, рисков, целей и глубины работы. Услуги, охват, график, результаты и условия повторного теста мы определяем в предложении до начала работ.
Мы начинаем с рисков и целей вашего бизнеса, чтобы определить, какие услуги нашего портфолио имеют смысл на каждом этапе. В ходе программы мы пересматриваем приоритеты с вашей командой, исследуем уязвимости и подтверждаем согласованные исправления. Сочетание услуг, периодичность работ и повторные тесты определяются в предложении.
Да. Если нужно оценить систему, исследовать конкретный риск или провести определённое учение, мы можем организовать разовый проект. Охват, сроки, результаты и условия повторного теста согласуются в предложении.
Повторный тест проверяет исправления согласованных находок. Его включение, сроки, количество раундов и ограничения определяются в предложении. Новые активы или существенные изменения могут потребовать нового охвата.
Доказательства могут поддержать аудиты и оценки соответствия. Принятие зависит от требования, охвата и оценки аудитора. Отчёт не удостоверяет соответствие и не гарантирует одобрение по ISO 27001, SOC 2, PCI DSS или LGPD.
Перед началом мы согласуем разрешение, активы, допустимые техники, временные окна, контакты и условия остановки. Для социальной инженерии и физических действий действуют отдельные ограничения. Обращение с доказательствами согласуется с клиентом.
Обсудите с нашими специалистами свой продукт, риски и приоритеты. Вместе мы определим работу, которая имеет смысл для вашего бизнеса.
Составить мою программу