Perimetru
Digital, fizic, personal.
Pentest și conformitate pentru companie, depistarea interceptărilor și dispozitive securizate pentru oamenii care merită atacați.
Patru direcții, o singură responsabilitate
În loc de trei furnizori care își pasează problema unul altuia.
Pentest și audit
Un atac controlat asupra sistemelor dvs. conform OWASP și PTES, cu un raport pe care îl înțeleg și dezvoltatorul, și directorul.
- Web și API
- Aplicații mobile
- Infrastructură și cloud
- Inginerie socială
- Audit de cod
Conformitate și consultanță
Pregătire pentru certificare și politici care funcționează, nu care stau într-un dosar.
- ISO 27001
- SOC 2
- GDPR, NIS2, DORA
- vCISO
- Instruirea personalului
Depistarea interceptărilor
Verificare instrumentală a spațiilor, mașinilor și echipamentelor pentru dispozitive de ascultare și camere ascunse.
- Birou și sală de ședințe
- Automobil
- Locuință
- Echipamente și cadouri
Protecția dispozitivelor
Telefon și laptop configurate pentru modelul dvs. de amenințări și comunicare pe care nu o citește un terț.
- GrapheneOS
- Configurarea telefonului
- Laptop
- Mesagerie și e-mail
- Chei hardware
Un perimetru, patru direcții
Fiecare linie din schemă este, la furnizorii obișnuiți, o echipă separată. La noi este o singură responsabilitate.
- Pentest și audit
- Conformitate și consultanță
- Depistarea interceptărilor
- Protecția dispozitivelor
Metodologiile după care lucrăm
Nu „metode proprii”, ci standarde deschise pe care le cunosc auditorul și dezvoltatorul dvs.
- OWASP WSTG
- OWASP API Top 10
- OWASP MASVS
- PTES
- NIST SP 800-115
- ISO 27001
- SOC 2
- NIS2
- DORA
- GDPR
Cum decurge colaborarea
01Discuție
Stabilim ce anume protejăm și de cine. Fără chestionare de patruzeci de întrebări.
02Scop și contract
Fixăm limitele testului, termenele și formatul raportului. Semnăm un NDA.
03Lucrul propriu-zis
Testăm și documentăm fiecare constatare cu dovadă și nivel de risc.
04Raport și remedieri
Explicăm ce trebuie corectat mai întâi. Reverificăm după remedieri.
Pentru cine suntem
Șase situații tipice cu care oamenii vin la noi. Dacă o recunoașteți pe a dvs., următorul pas este o discuție scurtă.
Directori și proprietari
Negocieri care nu trebuie să se scurgă și un telefon pe care nimeni nu trebuie să îl citească.
Ce este de obicei necesar: Verificarea biroului și a mașinii, telefon securizat, comunicații
Avocați
Secretul profesional în birou, în mașină și pe dispozitivele care pot fi confiscate.
Ce este de obicei necesar: Verificarea spațiilor, criptare, dispozitive care pot fi confiscate
Jurnaliști
Protecția surselor: comunicare, dispozitive, verificarea încăperilor înaintea interviurilor sensibile.
Ce este de obicei necesar: Comunicații sigure, dispozitive, verificare înaintea interviurilor sensibile
Fintech și bănci
Pentest înainte de lansare, DORA și NIS2, raport pentru autoritate și parteneri.
Ce este de obicei necesar: Pentest, DORA și NIS2, plan de răspuns la incidente, vCISO
E-commerce și marketplace-uri
Protecția fluxului de plăți, a datelor personale ale clienților și a API-urilor pentru parteneri.
Ce este de obicei necesar: Pentest pentru site și API, fluxul de plăți, politici
SaaS și echipe de produs
Pentest al aplicației și API-ului, SOC 2 pentru clienți din SUA, ciclu de dezvoltare sigur.
Ce este de obicei necesar: Pentest de aplicație, SOC 2, dezvoltare sigură
Scaner sau pentest
Scanerul este util, dar nu este o evaluare de securitate. Iată diferența.
| Scaner de vulnerabilități | Pentest | |
|---|---|---|
| Ce găsește | Vulnerabilități cunoscute dintr-o bază | Scenarii reale de atac, inclusiv logica |
| Alarme false | Sute, de triat de către dvs. | Fiecare constatare verificată manual |
| Lanțuri de atac | Nu le vede | Leagă constatări mici într-una critică |
| Raport | O listă tehnică | Pentru director, dezvoltator și auditor |
| Reverificare | Aceeași scanare | Confirmarea că s-a remediat |
Cum lucrăm
Fără intimidare
Nu vindem frică. Spunem care risc este real și unde puteți economisi.
NDA înaintea primului cuvânt
Semnăm acordul de confidențialitate înainte de orice detalii. Șablonul dvs. sau al nostru.
Un raport care se citește
O pagină pentru conducere, pași pentru dezvoltator, dovezi pentru auditor.
Reverificare inclusă
După remedieri testăm din nou și confirmăm că este închis.
Confidențialitatea ca protocol, nu ca promisiune
Așa tratăm materialele dumneavoastră de la primul e-mail până la distrugerea artefactelor.
Criptare de la început
Materialele stau pe un suport criptat, iar acces are doar cel care execută lucrarea. Raportul se predă criptat, parola merge pe alt canal.
Acord înainte de prima scanare
Nicio testare fără acordul scris al proprietarului sistemului. Domeniul, ferestrele de testare și cuvântul de oprire se stabilesc dinainte.
Ce e critic se raportează imediat
O constatare periculoasă se predă în ziua în care o descoperim, nu odată cu raportul final.
Distrugere conform programului
După proiect distrugem artefactele și emitem o adeverință. Studiu de caz public doar cu acord scris separat.
- Fără bază de date
- Site-ul este static. Nu are ce fi spart: fără panou de administrare, fără sesiuni, fără parole.
- Solicitările nu se stochează
- Formularul trimite mesajul direct în Telegramul nostru și nu lasă nicio copie pe server.
- Antete de securitate
- CSP, HSTS, interzicerea încorporării în alte site-uri. Verificați pe securityheaders.com.
- Fără trackere
- Fără cookie-uri, pixeli sau analitică terță.
Verificați singuri
Două verificări gratuite care arată ce poate vedea oricine despre dumneavoastră într-un minut. Fără înregistrare, rezultatele nu se salvează.
Verificați protecția site-ului
Ce oferă site-ul dumneavoastră fiecărui vizitator: redirecționare la HTTPS, anteturi de securitate, scripturi și trackere terțe, versiuni de software expuse.
Facem două cereri obișnuite către pagina principală, ca un browser. Nu scanăm și nu stocăm nimic.
Verificați protecția e-mailului
Fără SPF și DMARC oricine poate trimite e-mail în numele domeniului dumneavoastră. Verificarea citește doar înregistrări DNS publice și nu stochează nimic.
Citim doar înregistrările DNS publice ale domeniului. Nu stocăm și nu scanăm nimic.
Ghid
Articole scurte despre ce facem și de ce. Cinci minute de citit care economisesc o oră de discuție.
Ce este un pentest și prin ce diferă de un scaner de vulnerabilități
Scanerul găsește găuri cunoscute după o listă. Pentesterul gândește ca un atacator și leagă detaliile într-o spargere reală.
4 min de citit
Cum decurge depistarea interceptărilor
Ce facem în birou, mașină sau locuință, ce aparate folosim și de ce durează ore.
5 min de citit
GrapheneOS: ce este și cine are nevoie cu adevărat
Un sistem de operare pentru Pixel fără servicii Google în mod implicit. Nu pentru toată lumea, dar pentru unii singura opțiune.
4 min de cititÎntrebări frecvente
Cât costă un pentest?
Depinde de scop: numărul de aplicații, dimensiunea rețelei, modul de acces. O aplicație web mică și o infrastructură mare diferă de câteva ori. După o discuție scurtă dăm un preț fix și un termen; nu publicăm prețuri pe site, pentru că fără scop induc în eroare.
Nu ne stricați ceva în timpul pentestului?
Lucrăm în limitele și regulile convenite: fără DoS, fără distrugere de date, acțiuni distructive doar în mediul de test și cu permisiune separată. Anunțăm din timp pașii riscanți.
Cât durează lucrarea?
Pentestul unei aplicații: una-două săptămâni cu raport. Infrastructură: două-patru săptămâni. Depistarea interceptărilor: de la câteva ore la o zi. Pregătirea pentru ISO 27001: trei-nouă luni, în funcție de punctul de plecare.
Semnați un NDA?
Da, înainte de începerea oricăror lucrări. Putem semna șablonul dvs. sau îl oferim pe al nostru.
Pot să vă contactez anonim?
Da. Formularul are un mod confidențial: fără nume și telefon, doar un alias de Signal sau Session. Pentru depistarea interceptărilor stabilim o întâlnire fără martori.
Este legal să ne testați sistemele?
Da, cu permisiunea scrisă a proprietarului sistemului. Domeniul, ferestrele și cuvântul de oprire se fixează în regulile de angajament înainte de start. Fără asta nu începem.
Ne ajutați să remediem ce găsiți?
Da. Explicăm fiecare constatare dezvoltatorilor, însoțim remedierea și apoi retestăm cu confirmare.
Scrieți-ne
Mesajul ajunge direct în Telegramul nostru. Pe server nu rămâne nimic.
Telegram
