Пентест
Веб, API, мобільні застосунки, інфраструктура, хмара. Ручна робота за методологіями OWASP і PTES, а не звіт зі сканера.
Для бізнесу
Знайти дірки раніше за тих, хто їх шукає, і показати аудитору, що безпека у вас не на папері.
Аудит
Код, архітектура, конфігурації. Кажемо, де ризик реальний, а де можна не витрачати гроші.
Compliance
ISO 27001, SOC 2, GDPR, NIS2 і DORA. Від gap-аналізу до політик і підготовки до сертифікації. vCISO, якщо свого CISO нема.
Що ви отримуєте
- Звіт із доказами, рівнем ризику і планом виправлень, зрозумілий і розробнику, і директору
- Повторну перевірку після виправлень із підтвердженням
- Резюме на одну сторінку для керівництва і аудитора
- Розбір результатів з вашою командою онлайн
Часті питання
З чого почати, якщо ми ніколи не робили пентест?
З короткої розмови про системи і ризики, після якої ми запропонуємо межі і формат. Зазвичай перший пентест роблять на головному застосунку в режимі grey box.
Чи достатньо сканера вразливостей?
Сканер корисний як регулярна гігієна, але він не бачить помилок логіки і не поєднує знахідки в реальний сценарій атаки. Пентест робить саме це.
Як часто повторювати?
Раз на рік або після значних змін у системі. Для ISO 27001 і SOC 2 регулярність фіксується в політиках.
Конфіденційність як протокол, а не обіцянка
Так ми поводимося з вашими матеріалами від першого листа до знищення артефактів.
Шифрування від початку
Матеріали лежать на зашифрованому носії, доступ має лише виконавець. Звіт передаємо зашифрованим, пароль окремим каналом.
Дозвіл до першого сканування
Жодної перевірки без письмової згоди власника системи. Межі, вікна тестування і стоп-слово фіксуємо заздалегідь.
Критичне повідомляємо одразу
Небезпечну знахідку передаємо в день виявлення, не чекаючи фінального звіту.
Знищення за графіком
Після проєкту артефакти знищуємо і видаємо довідку. Публічний кейс лише з окремої письмової згоди.
Перевірте самі
Дві безкоштовні перевірки, які показують те, що будь-хто бачить про вас за хвилину. Без реєстрації, результати не зберігаються.
Перевірте захист сайту
Що ваш сайт сам віддає кожному відвідувачу: редирект на HTTPS, заголовки безпеки, сторонні скрипти і трекери, розкриті версії програм.
Робимо два звичайні запити до головної сторінки, як браузер. Нічого не скануємо і не зберігаємо.
Перевірте захист вашої пошти
Без SPF і DMARC будь-хто може надіслати лист від імені вашого домену. Перевірка дивиться лише публічні DNS-записи і нічого не зберігає.
Дивимось лише публічні DNS-записи домену. Нічого не зберігаємо і не скануємо.
Написати нам
Повідомлення йде прямо в наш Telegram. На сервері нічого не лишається.
Telegram
