Автоматизовані перевірки
Щотижня ми перевіряємо системи й середовища, визначені в обсязі. Фахівець аналізує результати, а ви отримуєте докази, пріоритети та рекомендації щодо усунення вразливостей.
Визначити обсяг
Ваша команда наступальної безпеки, на постійній основі.
Pentesty поєднує фахівців і власні технології в програмі наступальної безпеки, адаптованій до вашого продукту й бізнесу. Ми поєднуємо пентести, Red Team, автоматизовані перевірки та інші послуги залежно від ваших ризиків і цілей, відстежуючи зміни продукту й хід виправлень.
Складімо вашу програму безпекиВаш продукт визначає обсяг.
Кожна робота починається з вашого контексту: продукту, ризиків і пріоритетів. На цій основі ми формуємо індивідуальний обсяг і спрямовуємо тести на те, що може поставити під загрозу вашу роботу, дані й довіру клієнтів.
Pentest
WebЗастосунки, автентифікація, права та бізнес-логіка. Ми оцінюємо процеси, на яких тримається ваша робота.
APIАвторизація, розкриття даних, інтеграції та ізоляція між користувачами й організаціями.
MobileЗастосунки Android та iOS, локальне зберігання, обмін даними та інтеграції в обсязі.
ІнфраструктураВнутрішні й зовнішні мережі, сервіси, облікові записи та підключені пристрої, зокрема камери й турнікети. Ми оцінюємо безпеку мережевих активів, визначених в обсязі.
ХмараХмарні акаунти й проєкти, права, відкриті ресурси та довірчі відносини між сервісами.
Red Team
- Безперервний Red TeamНаша команда проводить регулярні симуляції атак, переглядає цілі разом із вашою командою та перевіряє виправлення між вправами.
- Емуляція супротивникаСценарії на основі актуальних загроз, щоб оцінити, як ваш захист реагує на техніки, передбачені навчанням.
- Соціальна інженеріяСимуляції, щоб оцінити, як ваша команда розпізнає спроби маніпуляції та шахрайства й реагує на них, за погодженими сценаріями та обмеженнями.
- Фізичне проникненняТести фізичного доступу в межах сценаріїв Red Team, з місцями, цілями й обмеженнями, погодженими з вашою командою.
- Фішингові кампаніїПогоджені симуляції, щоб виміряти розпізнавання спроб шахрайства й повідомлення про них та спрямувати покращення в людях, процесах і засобах контролю.
Як ми працюємо
01
Контекст і пріоритети
Ми вивчаємо ваш продукт, ризики для бізнесу та ваші цілі. Разом обираємо послуги й визначаємо обсяг, доступи, обмеження та періодичність програми.
02
Тестування з фахівцями та власними технологіями
Ми проводимо тести й вправи, передбачені обсягом. Наші власні технології допомагають у дослідженні, а фахівці перевіряють докази й оцінюють вплив на ваш бізнес.
03
Знахідки та рекомендації з виправлення
Ми представляємо знахідки й визначаємо пріоритети виправлень за впливом. Ваша команда отримує докази й рекомендації для впровадження змін, зокрема промпт для виправлення кожної знахідки.
04
Повторні перевірки та наступний цикл
Ми перевіряємо виправлення в погоджених повторних тестах і фіксуємо зміни щодо знахідок. Разом із вашою командою переглядаємо пріоритети, щоб спланувати наступний цикл з урахуванням змін продукту.
Складімо вашу програму безпеки
Набір послуг, періодичність і глибина тестування визначаються в обсязі програми й переглядаються з вашою командою, коли змінюються ризики та пріоритети.
Ясність для рішень. Докази для виправлень.
Ви отримуєте докази, підтверджені фахівцями, і пріоритети виправлень, пов'язані із впливом на ваш бізнес, з глибиною та форматом, визначеними для вашої програми чи проєкту.
Дізнатися про нашу методологіюОгляд для керівництваПриклад платформи
Три пріоритети цього раунду
Ризики нижче стосуються даних клієнтів і переговорів щодо контрактів. Перший пункт слід виправити до наступного релізу.
- Експорт даних без контролю доступуРизик розкриття даних клієнтівВисокий
- Сесії залишаються дійсними після зміни пароляРизик захоплення акаунтаСередній
- Широкі права сервісного акаунтаПосилює наслідки можливого несанкціонованого доступуСередній
Технічний звітПриклад знахідки · CVSS 8.6
Експорт даних доступний між організаціями
Автентифікований користувач може експортувати записи іншої організації, змінивши ідентифікатор у запиті.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <токен організації 2093> HTTP/2 200 записи іншої організації
Рекомендація: перевіряти на сервері, що користувач належить до запитаної організації, перш ніж формувати експорт.
Охоплення та обмеженняПриклад платформи
Що було оцінено і на яких умовах
- Вебзастосунок і автентифікаціяПротестовано з двома профілями доступуОцінено
- Публічний API v2Тестове середовищеОцінено
- Платіжні вебхукиНемає облікових даних партнера у вікні тестуванняБез висновку
- Застосунок AndroidПоза обсягом цього раундуНе включено
Перевірка виправленьПриклад повторного тесту
Що змінилося з минулого раунду
- Експорт даних між організаціямиТепер запит повертає 403Виправлено
- Сесії після зміни пароляМобільні сесії досі активніПотребує уваги
- Права сервісного акаунтаПрава скорочено до необхіднихВиправлено
Промпт виправленняПриклад знахідки
Готово для вашої команди або ШІ-інструмента
Контекст: маршрут GET /api/v2/orgs/:id/export не перевіряє, чи належить користувач до запитаної організації. Завдання: додайте перевірку на сервері до формування експорту й повертайте 403, якщо користувач не є учасником. Як перевірити: повторіть запит із токеном іншої організації та переконайтеся, що сервер повертає 403. Потім перевірте, що учасники з належними правами й надалі можуть виконувати експорт.
Ваша команда перевіряє та застосовує зміну. Повторний тест підтверджує результат на умовах договору.
Ілюстративний вміст. Глибина й формат визначаються для вашої програми чи проєкту.
Часті запитання
Залишилися запитання? Напишіть нам на support@pentesty.co
Які послуги пропонує Pentesty?
Ми пропонуємо пентести Web, API, Mobile, інфраструктури та хмари, автоматизовані перевірки й навчання Red Team, зокрема емуляцію супротивника, соціальну інженерію та фішинг. Ми поєднуємо послуги в регулярній програмі або разовому проєкті згідно з погодженим обсягом.
У чому різниця між пентестом і Red Team?
Пентест досліджує вразливості у визначеному обсязі. Red Team імітує дії зловмисника, щоб оцінити, як реагують ваші команди й засоби контролю. У безперервній програмі ми переглядаємо цілі з вашою командою, проводимо погоджені кампанії та супроводжуємо виправлення. Навчання можуть поєднувати емуляцію супротивника, соціальну інженерію, фішинг і фізичне проникнення.
Як Pentesty використовує власні технології?
Наші власні технології допомагають фахівцям досліджувати вразливості й поглиблювати аналіз. Вони перевіряють докази, оцінюють вплив на ваш продукт і визначають пріоритети виправлень за ризиками для вашого бізнесу.
Що я отримаю наприкінці роботи?
Ви отримуєте огляд для керівництва й технічний звіт. Кожна знахідка містить докази, пріоритет і рекомендації щодо виправлення. Ваша команда перевіряє та застосовує зміни. Ми представляємо результати. Для Red Team ми також показуємо шляхи атаки й те, як ваші команди та засоби контролю відреагували на тести.
Скільки це коштує і скільки часу займає?
Вартість, строки й періодичність залежать від систем, ризиків, цілей і глибини роботи. Послуги, обсяг, графік, результати й умови повторного тесту ми визначаємо в пропозиції до початку робіт.
Як працює регулярна програма?
Ми починаємо з ризиків і цілей вашого бізнесу, щоб визначити, які послуги нашого портфоліо мають сенс на кожному етапі. Упродовж програми ми переглядаємо пріоритети з вашою командою, досліджуємо вразливості й підтверджуємо погоджені виправлення. Поєднання послуг, періодичність робіт і повторні тести визначаються в пропозиції.
Чи можна замовити разовий проєкт?
Так. Якщо потрібно оцінити систему, дослідити конкретний ризик або провести визначене навчання, ми можемо організувати разовий проєкт. Обсяг, строки, результати й умови повторного тесту погоджуються в пропозиції.
Чи включено повторний тест?
Повторний тест перевіряє виправлення погоджених знахідок. Його включення, строки, кількість раундів і обмеження визначаються в пропозиції. Нові активи або суттєві зміни можуть потребувати нового обсягу.
Чи допомагає звіт під час аудитів і комплаєнсу?
Докази можуть підтримати аудити й оцінки відповідності. Прийняття залежить від вимоги, обсягу та оцінки аудитора. Звіт не засвідчує відповідність і не гарантує схвалення за ISO 27001, SOC 2, PCI DSS або LGPD.
Як тести погоджуються та проводяться?
Перед початком ми погоджуємо дозвіл, активи, допустимі техніки, часові вікна, контакти й умови зупинки. Для соціальної інженерії та фізичних дій діють окремі обмеження. Поводження з доказами погоджується з клієнтом.
Складемо обсяг для вашого продукту?
Обговоріть із нашими фахівцями свій продукт, ризики й пріоритети. Разом ми визначимо роботу, яка має сенс для вашого бізнесу.
Скласти мою програму