Безопасность
Аудит информационной безопасности
Находим уязвимости до того, как их найдут другие. Экспресс-скан за три дня, полный аудит или пентест. На выходе карта рисков с приоритетами и план закрытия со сметой.
Внешний периметр, веб-приложение, типовые ошибки конфигурации.
OWASP Top 10, ASVS и WSTG для веб, PTES для инфраструктуры.
Проверки согласуются заранее и не ломают прод.
Нашли, оценили, закрыли: без передачи между подрядчиками.
Кому нужен
Если у вас есть личный кабинет, платежи, API или данные клиентов, у вас есть что терять.
Финтех и e-commerce
Платежи, личные кабинеты, бонусные программы. Требования банков и платёжных систем.
SaaS и маркетплейсы
Мультитенантность, API, интеграции с партнёрами. Одна уязвимость затрагивает всех клиентов.
Медицина и образование
Специальные категории персональных данных и повышенные требования к защите.
Перед сделкой или запуском
Инвестор или крупный клиент просит подтверждение безопасности.
Что проверяем
Три уровня глубины
Выбираете уровень под задачу и бюджет. Каждый следующий включает предыдущий.
Экспресс-скан
Внешний периметр, открытые порты и сервисы, заголовки безопасности, TLS, утечки конфигураций, известные уязвимости компонентов. 3 рабочих дня.
Веб-приложение
Аутентификация и сессии, права доступа, инъекции, бизнес-логика, API, загрузка файлов. Ручная проверка по OWASP WSTG.
Инфраструктура
Серверы, контейнеры, облака, CI/CD, секреты, резервные копии, доступы сотрудников.
Пентест
Имитация атаки: внешний, внутренний, социальная инженерия по согласованию. Отчёт с доказательствами эксплуатации.
Что получите
Не список CVE, а понятный план: что чинить первым и сколько это стоит.
- Карту рисков с оценкой критичности и вероятности эксплуатации
- Доказательства для каждой уязвимости: шаги воспроизведения, скриншоты
- Рекомендации по исправлению с привязкой к вашему стеку
- План закрытия по приоритетам и смету на работы нашей командой
- Повторную проверку исправленного без доплаты
- Краткое резюме для руководства и инвесторов
Как проходит аудит
- 130 минут
Созвон и границы
Что проверяем, что нельзя трогать, окна для активных проверок.
- 21–2 дня
Разведка и сканирование
Автоматизированный сбор, затем ручная верификация находок.
- 33–10 дней
Ручная проверка
Бизнес-логика, права доступа, цепочки уязвимостей.
- 41 день
Отчёт и разбор
Карта рисков, план, смета. Созвон с вашей командой.
Форматы и цены
Фиксированная цена после первого созвона.
Экспресс-скан
фиксСайт или одно приложение
- Внешний периметр
- Заголовки, TLS, конфигурации
- Известные уязвимости
- 3 рабочих дня
Полный аудит
по оценкеПриложение и инфраструктура
- Всё из «Экспресс»
- Ручная проверка по OWASP
- Инфраструктура и CI/CD
- План и смета
- 2–3 недели
Пентест
по оценкеИмитация атаки
- Всё из «Полный аудит»
- Эксплуатация с доказательствами
- Социальная инженерия по согласованию
- Повторная проверка
Для аттестации по требованиям ФСТЭК и ГОСТ Р 57580 привлекаем лицензированного партнёра. В частном секторе лицензия на аудит не требуется.
Частые вопросы
Обсудим задачу
Оценка за один рабочий день. Без спама и звонков менеджеров.