Пентест веб-приложений, API и инфраструктуры
Проверяем защищённость так, как это сделал бы злоумышленник, — но в согласованных границах, без ущерба для работы систем и с понятным отчётом.
Что проверяем
Объём и модель тестирования согласуем до начала работ и фиксируем в договоре.
- Веб-приложенияУязвимости из OWASP Top 10, ошибки бизнес-логики, аутентификация, сессии и разграничение прав.
- APIREST и GraphQL: доступ к чужим объектам, лишние данные в ответах, ограничения запросов, OWASP API Top 10.
- Внешний периметрОткрытые сервисы, устаревшие версии ПО, ошибки конфигурации и забытые ресурсы.
- Внутренняя сетьСегментация, учётные записи, пути повышения привилегий и перемещения внутри сети.
- Модели тестированияBlack box — без данных о системе, grey box — с учётной записью, white box — с доступом к коду и документации.
- Повторная проверкаПосле исправлений перепроверяем найденные уязвимости и подтверждаем, что они закрыты.
Когда к нам обращаются
Перед запуском продукта или крупного релиза.
По требованию заказчика, партнёра или регулятора.
После инцидента, смены архитектуры или подрядчика разработки.
Что вы получите
Сроки и стоимость называем после короткого брифа — они зависят от объёма работ.
Отчёт для руководства
Общая оценка защищённости и ключевые риски простым языком — без технических подробностей.
Технический отчёт
По каждой уязвимости: описание, доказательства, шаги воспроизведения, критичность и рекомендации по исправлению.
Разбор с командой
Созвон с разработчиками и ИТ: отвечаем на вопросы и помогаем расставить приоритеты.
Частые вопросы
Не нарушит ли тестирование работу систем?
Заранее согласуем границы, время работ и режим проверок. Проверки, которые могут повлиять на доступность, проводим только с вашего согласия или на тестовом стенде.
Сколько длится пентест?
Зависит от объёма: количества приложений, ролей пользователей и сегментов сети. После брифа называем точные сроки и стоимость.
Нужен ли доступ к исходному коду?
Нет, для black box достаточно адреса системы. Доступ к коду и учётные записи делают проверку глубже и быстрее.
Подписываете ли вы NDA?
Да, соглашение о конфиденциальности подписываем до начала работ.
Связанные направления
Обсудим вашу задачу
Опишите системы, стек и формат работ — ответим с предложением подхода и сроков в течение рабочего дня.