Найдите слабые места раньше атакующих
Аудит защищённости, тестирование на проникновение, Red Team и подготовка к международной сертификации. Ручное тестирование, отчёты на основе признанных стандартов и письменно согласованный объём работ до их начала.
- WSTG, ASVS, API Top 10
- OWASPWSTG, ASVS, API Top 10
- Оценка критичности
- CVSS 3.1Оценка критичности
- Структурированный процесс работ
- PTESСтруктурированный процесс работ
- Объём работ до начала тестов
- ПисьменноОбъём работ до начала тестов
Полный цикл информационной безопасности
От разовой проверки до постоянного сопровождения: берём на себя безопасность инфраструктуры, приложений и процессов.
Аудит ИБ и документации
Комплексная оценка защищённости инфраструктуры, конфигураций, процессов и документации с приоритизированным отчётом.
- Анализ сетей, серверов и облака
- Аудит политик, регламентов и процессов
- Отчёт с планом устранения
Тестирование на проникновение
Контролируемая атака в форматах black-box, grey-box и white-box. Ищем то, чем воспользовался бы реальный злоумышленник.
- Web, mobile, API и внешний периметр
- Внутренний пентест и сегментация
- Повторная проверка после устранения
Red Team
Имитация целевой атаки по согласованному сценарию. Проверяем, насколько готовы люди, процессы и средства защиты.
- OSINT и социальная инженерия
- Фишинг и физический доступ
- Оценка реакции Blue Team
Реагирование на инциденты
Помощь, когда инцидент уже случился: расследование, локализация и восстановление со временем реакции, гарантированным в договоре ретейнера.
- Триаж инцидентов и криминалистическое расследование
- Помощь с локализацией и восстановлением
- Анализ первопричин и разбор уроков
Подготовка к сертификации
Выстраиваем процессы и документацию под международные стандарты и сопровождаем до получения сертификата.
- ISO 27001, SOC 2, PCI DSS, GDPR
- Политики, регламенты и реестр рисков
- Сопровождение сертификационного аудита
Обучение и осведомлённость
Повышаем устойчивость команды к атакам: тренинги, фишинг-симуляции и проверка знаний.
- Фишинг-симуляции
- Тренинги для сотрудников
- Безопасная разработка
Прозрачный процесс от заявки до результата
Скоупинг
Определяем границы проверки, цели и модель угроз. Согласуем сроки и правила.
Проверка
Аудит и тестирование на проникновение: ищем уязвимости и возможные пути атаки.
Отчёт
Приоритизированный отчёт: что нашли, чем опасно и как исправить.
Сопровождение
Помогаем устранить риски и проводим повторную проверку.
Практики, а не теоретики
Помимо тестирования, мы сами создаём продукты и инфраструктуру, поэтому понимаем риски с обеих сторон.
Практики проверяют системы вручную, как это делал бы реальный злоумышленник. Инструменты помогают, но не заменяют опыт и суждение специалиста.
Vexaro сама разрабатывает ПО и инфраструктуру, поэтому мы знаем, где чаще всего возникают проблемы.
Не «дамп сканера», а приоритеты, риски бизнеса и конкретные шаги.
Сопровождаем устранение и без доплат повторно проверяем исправления в срок, указанный в SoW.
Готовим к международным стандартам и сертификации
Форматы работ и реальные сроки
Ориентировочные сроки. Итог зависит от объёма и согласованной модели угроз.
Тестирование на проникновение
Web, mobile, API или внешний периметр.
Аудит ИБ и документации
Инфраструктура, конфигурации и процессы.
Red Team
Целевая имитация атаки по согласованному сценарию.
Подготовка к ISO 27001
Внедрение СМИБ, документация и внутренний аудит.
SOC 2 Type II
Внедрение средств контроля плюс период наблюдения.
PCI DSS
Готовность к оценке QSA.
Какие проблемы мы ищем
Иллюстративные сценарии на основе типовых находок. Это не кейсы клиентов.
Пентест платёжного API
Иллюстрация: гонка запросов позволяет обойти лимиты перевода и подменить сумму. Именно такую логическую уязвимость ручной тест API должен найти до релиза.
Аудит сети филиалов
Иллюстрация: админ-панели касс, открытые в интернет, и плоская сеть между офисами. Такое выявляют внешним и внутренним тестированием, а закрывают сегментацией и укреплением периметра.
Подготовка к ISO 27001
Иллюстрация: построение СМИБ (процессы, политики, регламенты и обучение сотрудников) с готовностью к аудитам Stage 1 и Stage 2 аккредитованного органа.
Всё, что мы находим, остаётся между нами
Работа начинается с подписания соглашения о неразглашении (NDA). Сведения о вашей инфраструктуре, наши находки и отчёты видят только те, кто работает над вашим проектом, в том числе субподрядчики, связанные такими же обязательствами о конфиденциальности. Больше никому они не раскрываются, если этого не требует закон.
Соглашение о неразглашении подписываем до получения любого доступа.
Доступы, артефакты и отчёты хранятся в зашифрованном виде.
Доступ к данным есть только у участников проекта и только при необходимости.
Рабочие данные удаляются или возвращаются по истечении согласованного срока хранения, временные доступы отзываются.
Частые вопросы
Аудит оценивает защищённость конфигураций, процессов и архитектуры. При пентесте мы проводим контролируемую атаку и проверяем, как на самом деле можно проникнуть в систему. Часто их проводят вместе.
Мы выстраиваем работу так, чтобы это было безопасно. Сначала согласуем модель угроз, границы и правила; нагрузочные и потенциально опасные проверки проводятся только в согласованное окно. Активное тестирование рабочих систем всегда несёт некоторый риск сбоев, поэтому мы планируем работу с учётом ваших резервных копий и критичных периодов.
Отчёт с приоритизированными находками, оценкой бизнес-риска и конкретными шагами по устранению. Кроме того, сопровождение устранения и бесплатная повторная проверка исправленных находок в срок, указанный в SoW.
Да. Мы консультируем команду по исправлению и проводим повторную проверку, чтобы убедиться, что риски закрыты.
ISO 27001, SOC 2, PCI DSS, GDPR, OWASP ASVS, NIST CSF и др. Выстраиваем процессы и документацию под требования стандарта и сопровождаем до получения сертификата.
Реальные сроки: пентест (1-3 недели), аудит ИБ (2-4 недели), подготовка к ISO 27001 (6-9 месяцев), подготовка к PCI DSS (3-6 месяцев). Для SOC 2 Type II нужно 3 месяца внедрения и ещё 3-12 месяцев наблюдения.
Перед стартом подписываем NDA. Находки и доказательства хранятся в зашифрованном виде в системах с контролем доступа, доступ выдаётся по принципу минимальных привилегий, отчёты передаются по защищённым каналам, а рабочие данные удаляются или возвращаются по истечении согласованного срока хранения.