Выявляем как быстро современный киберпреступник, проникший в вашу внутреннюю ИТ-инфраструктуру, сможет найти пути к вашим критическим данным.
Выявляем как быстро современный киберпреступник, проникший в вашу внутреннюю ИТ-инфраструктуру, сможет найти пути к вашим критическим данным.
|
|
|
|
|
Взаимодействие без менеджеров. Ваша команда работает в едином контексте с нашими ведущими пентестерами.
Мы не ждем финала проекта. Если обнаружена критическая уязвимость, вы получаете уведомление немедленно, чтобы успеть закрыть брешь до завершения работ.
Наши отчеты говорят на языке бизнеса и технологий одновременно. Мы готовим емкое резюме для топ-менеджмента и детализированную информацию для ИТ и ИБ отделов.
Обнаруживаем уязвимости нулевого дня. Являясь контрибьюторами базы CNA, мы повышаем уровень защищенности индустрии в глобальном масштабе.
Мы не оставляем вас один на один с проблемой. После проведения правок наши эксперты проводят повторную проверку, подтверждая полное устранение рисков.
В 98% наших отчетов фиксируются уязвимости высокого и критического уровней. Мы не ищем легких путей и продолжаем анализ до полной отработки всех возможных сценариев компрометации.
Стоимость услуги внутреннего тестирования на проникновение формируется исходя следующих постулатов:
Детальны план нашего исследования внутри сети. Мы четко фиксируем методы горизонтального продвижения и повышения привилегий, чтобы вы были уверены в 100% проверке всех “слепых зон”.
Подробное описание выявленных угроз для ваших финансов, конфиденциальных данных и репутации. Каждая уязвимость в отчете — это реальный сценарий того, как злоумышленник может добраться до ваших финансов, ERP-систем или конфиденциальной информации
Демонстрация «цепочек взлома» внутри сети. Мы предоставляем неоспоримые доказательства возможности захвата прав администратора или доступа к критическим бизнес-приложениям.
Максимально конкретные рекомендации для ваших системных администраторов. Мы даем информацию по настройке групповых политик, сегментации сети и защите сервисных учетных записей. Это позволяет закрыть внутренние «бреши» с первой попытки.
Пошаговая очередность исправлений составлена так, чтобы вы могли закрыть критические бреши «быстрыми победами» (Quick Wins) при минимальных трудозатратах вашей ИТ-команды.
Весь проект на одной странице. Краткий обзор ключевых рисков и необходимых шагов в терминах бизнеса, не требующий глубокого технического погружения и вектор необходимых инвестиций для высшего менеджмента.
Формируем понимание целевой инфраструктуры через анализ открытых источников и наблюдение за внешним периметром. Мы изучаем домены, сетевые диапазоны и публично доступные сервисы, определяем какие системы доступны извне и какие технологии используются, чтобы получить целостное представление об атакуемой поверхности без вмешательства в работу систем.
Анализируем обнаруженные сервисы и приложения на наличие слабых мест. Для этого сочетается автоматический поиск известных уязвимостей и ручная проверка логики работы систем, конфигураций и механизмов доступа, что позволяет находить как типовые ошибки, так и нестандартные сценарии, неочевидные для сканеров.
На этапе эксплуатации мы проверяем применимость найденных уязвимостей в условиях, приближенных к реальной атаке, но строго в согласованных рамках. Мы моделируем действия злоумышленника и проверяем, можно ли получить доступ, расширить его или объединить несколько слабых мест в цепочку, при этом сохраняя стабильность и целостность систем.
Оцениваем к каким результатам может привести успешная атака и какие ресурсы окажутся под угрозой. Анализируется возможный доступ к данным, учетным записям и внутренней инфраструктуре, а также влияние на ключевые процессы, чтобы связать технические находки с реальными рисками.
Подготовка отчета, в котором результаты изложены понятным языком и расставлены по приоритетам. Мы описываем выявленные проблемы, подтверждаем их практическую значимость и даем конкретные рекомендации по устранению, чтобы результаты тестирования можно было сразу использовать для повышения уровня безопасности.
Работаем по SLA: имитируем действия злоумышленника внутри сети без риска стабильности ваших бизнес-приложений и сервисов
Методологии Grey/Black Box обеспечивают реалистичный сценарий действий злоумышленника, который уже получил доступ к инфраструктуре без предварительных знаний о ее структуре.
Продвинутый экзамен 48 часов по white-box тестированию веб-приложений. Включает анализ исходного кода, построение цепочек уязвимостей и разработку собственных эксплойтов. Предназначен для специалистов с высоким уровнем подготовки в веб-безопасности.
Практический экзамен 24 часа по взлому реальной сети в лабораторной среде с использованием Kali Linux. Требуется самостоятельное обнаружение уязвимостей, эксплуатация, повышение привилегий и составление отчета.
Практический экзамен 4 часа от PortSwigger. Тестирование двух веб-приложений исключительно с использованием Burp Suite Professional. Проверяет глубокое владение инструментом и эксплуатацию уязвимостей веб-приложений.
Экспертный сертификат по black-box тестированию веб-приложений. 7 дней на выполнение задач и 7 дней на подготовку отчета. Включает обход защит (WAF), работу с API, сложные уязвимости и custom-эксплойты.
Теоретический экзамен 4 часа (multiple-choice). Охватывает широкий спектр тем: разведка, сканирование, эксплуатация уязвимостей, веб-, мобильные, облачные и IoT-системы. Базовый сертификат в области этичного хакинга.
Внутренний пентест (internal penetration testing) — это имитация действий злоумышленника, который уже получил доступ к корпоративной сети. Специалисты воспроизводят атаку «изнутри»: проверяют, насколько далеко реальный нарушитель сможет продвинуться по инфраструктуре, к каким данным получить доступ и что сможет сделать без ведома IT-отдела.
Внешний пентест атакует периметр компании снаружи — так, как это делает хакер из интернета. Внутренний пентест начинается уже после условного «проникновения»: проверяется защищенность серверов, рабочих станций, Active Directory и внутренних сервисов. По сути, внутренний тест отвечает на вопрос: «Что произойдет, если злоумышленник уже оказался в сети?»
Он необходим, если вы хотите оценить риски от инсайдерских угроз, скомпрометированных учетных записей сотрудников или устройств, подключенных к внутренней сети. Особенно актуален для компаний с разветвленной инфраструктурой, где важно проверить сегментацию сети и разграничение доступа.
Перед стартом тестирования на уязвимости, специалисты совместно с заказчиком детально согласовывают границы тестирования и список исключений. Эксплуатация найденных уязвимостей проводится только после согласования — ни одно действие не выполняется без ведома ответственных лиц со стороны клиента. Это позволяет проводить пентест даже на работающей системе без остановки бизнес-процессов.
По завершении всех работ специалисты удаляют установленные инструменты, временные учетные записи и все артефакты, созданные в ходе тестирования. Инфраструктура возвращается в исходное состояние, а все действия фиксируются в отчете для последующего аудита.
До начала работ заключается Соглашение о неразглашении (NDA). Все данные, полученные в ходе тестирования — сведения об уязвимостях, топология сети, конфиденциальные документы — не передаются третьим лицам и используются исключительно для подготовки итогового отчета.
Отраслевые практики рекомендуют проводить тестирование на проникновение не реже одного раза в год. Помимо плановых проверок, пентест необходимо повторять после значимых изменений инфраструктуры: смены топологии сети, перехода на новое оборудование, миграции на другую ОС или подключения облачных сервисов.
Да. Стандарт PCI DSS прямо обязывает проводить тест на проникновение не реже одного раза в год, а также после каждого существенного изменения в инфраструктуре (требование 11). Стандарты ISO 27001, SOC 2, HIPAA и NIST CSF не устанавливают строгую периодичность, но лучшие практики также рекомендуют ежегодное тестирование. Наличие отчёта по пентесту значительно упрощает прохождение аудитов и демонстрирует зрелость процессов информационной безопасности.
Наши пошаговые рекомендации по настройке групповых политик (GPO), прав доступа и сетевых протоколов — это готовые технические задания для вашей ИТ-команды, исключающие неверные интерпретации.
Повторное тестирование (ретест) подтвердит, что маршруты «горизонтального перемещения» киберпреступников перекрыты, а критические информационные системы надежно защищены.
|
|
|
|
|
Взаимодействие без менеджеров. Ваша команда работает в едином контексте с нашими ведущими пентестерами.
Мы не ждем финала проекта. Если обнаружена критическая уязвимость, вы получаете уведомление немедленно, чтобы успеть закрыть брешь до завершения работ.
Наши отчеты говорят на языке бизнеса и технологий одновременно. Мы готовим емкое резюме для топ-менеджмента и детализированную информацию для ИТ и ИБ отделов.
Обнаруживаем уязвимости нулевого дня. Являясь контрибьюторами базы CNA, мы повышаем уровень защищенности индустрии в глобальном масштабе.
Мы не оставляем вас один на один с проблемой. После проведения правок наши эксперты проводят повторную проверку, подтверждая полное устранение рисков.
В 98% наших отчетов фиксируются уязвимости высокого и критического уровней. Мы не ищем легких путей и продолжаем анализ до полной отработки всех возможных сценариев компрометации.
Взаимодействие без менеджеров. Ваша команда работает в едином контексте с нашими ведущими пентестерами.
Стоимость услуги внутреннего тестирования на проникновение формируется исходя следующих постулатов:
Детальны план нашего исследования внутри сети. Мы четко фиксируем методы горизонтального продвижения и повышения привилегий, чтобы вы были уверены в 100% проверке всех “слепых зон”.
Подробное описание выявленных угроз для ваших финансов, конфиденциальных данных и репутации. Каждая уязвимость в отчете — это реальный сценарий того, как злоумышленник может добраться до ваших финансов, ERP-систем или конфиденциальной информации
Демонстрация «цепочек взлома» внутри сети. Мы предоставляем неоспоримые доказательства возможности захвата прав администратора или доступа к критическим бизнес-приложениям.
Максимально конкретные рекомендации для ваших системных администраторов. Мы даем информацию по настройке групповых политик, сегментации сети и защите сервисных учетных записей. Это позволяет закрыть внутренние «бреши» с первой попытки.
Пошаговая очередность исправлений составлена так, чтобы вы могли закрыть критические бреши «быстрыми победами» (Quick Wins) при минимальных трудозатратах вашей ИТ-команды.
Весь проект на одной странице. Краткий обзор ключевых рисков и необходимых шагов в терминах бизнеса, не требующий глубокого технического погружения и вектор необходимых инвестиций для высшего менеджмента.
Детальны план нашего исследования внутри сети. Мы четко фиксируем методы горизонтального продвижения и повышения привилегий, чтобы вы были уверены в 100% проверке всех “слепых зон”.
Наши пошаговые рекомендации по настройке групповых политик (GPO), прав доступа и сетевых протоколов — это готовые технические задания для вашей ИТ-команды, исключающие неверные интерпретации.
Повторное тестирование (ретест) подтвердит, что маршруты «горизонтального перемещения» киберпреступников перекрыты, а критические информационные системы надежно защищены.
Используйте отчет как детальную карту внутренней безопасности. Поймите, насколько далеко смог зайти атакующий, почему это произошло и к каким последствиям могло привести.
Трансформируйте полученную информацию в план системного укрепления безопасности. Мы уже отранжировали риски по их влиянию на бизнес-критичные системы (ERP, базы данных, бэкапы). Вам остается только распределить задачи между системными администраторами и инженерами.
Наши пошаговые рекомендации по настройке групповых политик (GPO), прав доступа и сетевых протоколов — это готовые технические задания для вашей ИТ-команды, исключающие неверные интерпретации.
Повторное тестирование (ретест) подтвердит, что маршруты «горизонтального перемещения» киберпреступников перекрыты, а критические информационные системы надежно защищены.
Концентрируемся на путях, ведущих к «сердцу» вашего бизнеса: финансовой информации, интеллектуальной собственности и персональным данным.
В команде — только сертифицированные «белые» хакеры (OSCP, OSCE), знающие всё о современных методах обхода защиты.
Работаем по SLA: имитируем действия злоумышленника внутри сети без риска стабильности ваших бизнес-приложений и сервисов
Методологии Grey/Black Box обеспечивают реалистичный сценарий действий злоумышленника, который уже получил доступ к инфраструктуре без предварительных знаний о ее структуре.
Концентрируемся на путях, ведущих к «сердцу» вашего бизнеса: финансовой информации, интеллектуальной собственности и персональным данным.
В команде — только сертифицированные «белые» хакеры (OSCP, OSCE), знающие всё о современных методах обхода защиты.
Взаимодействие без менеджеров. Ваша команда работает в едином контексте с нашими ведущими пентестерами.
Мы не ждем финала проекта. Если обнаружена критическая уязвимость, вы получаете уведомление немедленно, чтобы успеть закрыть брешь до завершения работ.
Наши отчеты говорят на языке бизнеса и технологий одновременно. Мы готовим емкое резюме для топ-менеджмента и детализированную информацию для ИТ и ИБ отделов.
Обнаруживаем уязвимости нулевого дня. Являясь контрибьюторами базы CNA, мы повышаем уровень защищенности индустрии в глобальном масштабе.
Мы не оставляем вас один на один с проблемой. После проведения правок наши эксперты проводят повторную проверку, подтверждая полное устранение рисков.
В 98% наших отчетов фиксируются уязвимости высокого и критического уровней. Мы не ищем легких путей и продолжаем анализ до полной отработки всех возможных сценариев компрометации.
Детальны план нашего исследования внутри сети. Мы четко фиксируем методы горизонтального продвижения и повышения привилегий, чтобы вы были уверены в 100% проверке всех “слепых зон”.
Подробное описание выявленных угроз для ваших финансов, конфиденциальных данных и репутации. Каждая уязвимость в отчете — это реальный сценарий того, как злоумышленник может добраться до ваших финансов, ERP-систем или конфиденциальной информации
Демонстрация «цепочек взлома» внутри сети. Мы предоставляем неоспоримые доказательства возможности захвата прав администратора или доступа к критическим бизнес-приложениям.
Максимально конкретные рекомендации для ваших системных администраторов. Мы даем информацию по настройке групповых политик, сегментации сети и защите сервисных учетных записей. Это позволяет закрыть внутренние «бреши» с первой попытки.
Пошаговая очередность исправлений составлена так, чтобы вы могли закрыть критические бреши «быстрыми победами» (Quick Wins) при минимальных трудозатратах вашей ИТ-команды.
Весь проект на одной странице. Краткий обзор ключевых рисков и необходимых шагов в терминах бизнеса, не требующий глубокого технического погружения и вектор необходимых инвестиций для высшего менеджмента.