Vexaro SecurityУслуги

Услуги по информационной безопасности

Шесть направлений наступательного тестирования: пентест веба, API, мобильных приложений и сети, ревью конфигурации облака и Red Team. Выберите одно или объедините несколько. Каждый проект строится на ручной работе и завершается приоритизированными находками, оценкой бизнес-риска и понятным планом устранения.

Тестирование на проникновение веб-приложений

Тестирование с упором на ручную работу по OWASP WSTG с проверкой по ASVS. Ищем ошибки бизнес-логики и контроля доступа, которые не ловят сканеры.

Типичный объём

Покрытие, сопоставленное с OWASP WSTG
Аутентификация, авторизация, бизнес-логика
Black-, grey- или white-box

Что вы получите

CVSS 3.1 с proof of concept
Ссылки на CWE / WSTG / ASVS
Бесплатная повторная проверка в срок по SoW

Подробнее об услуге

Тестирование на проникновение API

Тестирование с аутентификацией в нескольких ролях на BOLA, BFLA и авторизацию на уровне свойств объекта. REST и GraphQL, OWASP API Top 10 (2023).

Типичный объём

OWASP API Top 10 (2023)
BOLA, BFLA, авторизация на уровне свойств объекта
REST и GraphQL, многоролево

Что вы получите

Proof of concept в виде запрос/ответ
Ссылки на CVSS 3.1 и CWE
Бесплатная повторная проверка в срок по SoW

Подробнее об услуге

Тестирование на проникновение мобильных приложений

iOS и Android, статический и динамический анализ по OWASP MASVS v2.1.0 и MASTG, плюс backend-API, с которым работает приложение.

Типичный объём

OWASP MASVS v2.1.0 / MASTG
iOS и Android, статика + динамика
Приложение и его backend-API

Что вы получите

CVSS 3.1 с доказательствами
Ссылки на MASVS / MASTG / CWE
Бесплатная повторная проверка в срок по SoW

Подробнее об услуге

Тестирование на проникновение сети

Внешнее и внутреннее тестирование и проверка сегментации по PTES и NIST SP 800-115. Изоляцию проверяем на практике, что помогает выполнить PCI DSS Req 11.4.

Типичный объём

Внешний и внутренний периметр, сегментация
PTES и NIST SP 800-115
Активно проверяет изоляцию

Что вы получите

Результаты тестирования сегментации
CVSS 3.1, ссылки на CVE / CWE
Бесплатная повторная проверка в срок по SoW

Подробнее об услуге

Оценка безопасности облака

Проверка конфигурации облака (AWS, Azure, GCP) по CIS Benchmarks в рамках нашего аудита безопасности: учётные записи и доступ, хранилища, сеть и журналирование.

Типичный объём

Обзор конфигурации AWS / Azure / GCP
По CIS Benchmarks
Идентификация, хранение, сеть, журналирование

Что вы получите

Находки, сопоставленные со средствами защиты CIS
Пути IAM и повышения привилегий
Бесплатная повторная проверка в срок по SoW

Подробнее об услуге

Red Team

Имитация целевой атаки через людей, процессы и технологии с привязкой к MITRE ATT&CK. Проверяет обнаружение и реагирование и завершается разбором в формате purple team.

Типичный объём

Люди, процессы и технологии
Сопоставлено с MITRE ATT&CK
Сценарии assumed breach

Что вы получите

Описание атаки и kill chain
Пробелы в обнаружении и реагировании
Разбор в формате purple team

Подробнее об услуге

Посмотреть образец отчёта

Хотите понять, что именно вы получите? Откройте обезличенный демонстрационный отчёт: структура, глубина и тон такие же, как в настоящем.

Подготовка к соответствию и реагирование на инциденты

Помимо наступательного тестирования: подготовка силами специалистов к сертификациям, о которых спрашивают ваши клиенты, ретейнер реагирования на инциденты с гарантированным временем отклика и тестирование человеческой поверхности атаки. Мы готовим и сопровождаем, а аттестацию всегда выпускает независимый орган.

Подготовка к SOC 2 и сопровождение аудита

Оценка пробелов по SOC 2 силами специалистов, устранение и сопровождение аудита по Trust Services Criteria, плюс доказательства по итогам пентеста. Подготовка, а не аттестация.

Подробнее об услуге

Подготовка к ISO 27001 и консалтинг по СМИБ

Построение СМИБ по ISO/IEC 27001:2022 силами специалистов, обработка рисков, меры Annex A и внутренний аудит, плюс доказательства по итогам пентеста. Подготовка, а не сертификат.

Подробнее об услуге

Подготовка к PCI DSS и тестирование на проникновение

Подготовка к PCI DSS v4.0.1: определение границ CDE, оценка пробелов, тестирование на проникновение и проверка сегментации по Req 11.4. Подготовка и тестирование, а не аттестация QSA.

Подробнее об услуге

Ретейнер реагирования на инциденты и DFIR

Ретейнер IR с гарантированным временем отклика и DFIR-расследованием по NIST SP 800-61 Rev. 3. Привлечь нас можно через вашего юриста.

Подробнее об услуге

Социальная инженерия и симуляция фишинга

Авторизованные фишинг, целевой фишинг, вишинг и смишинг для измерения человеческой поверхности атаки и вашего реагирования, сопоставленные с MITRE ATT&CK. Учебное упражнение, а не обвинение.

Подробнее об услуге

Важно: мы обеспечиваем подготовку, оценку пробелов, устранение и сопутствующее тестирование на проникновение. Мы не являемся CPA-фирмой, аккредитованным органом по сертификации или QSA и не выпускаем отчёты SOC 2, сертификаты ISO 27001 или PCI Reports on Compliance. Их выдаёт независимый асессор.

Изучите основы

Впервые сталкиваетесь с тестированием на проникновение? Начните с основ или посмотрите, сколько стоит проект.

Глоссарий по безопасности

Понятные объяснения: что такое тестирование на проникновение, CVSS, OWASP Top 10, SOC 2 против ISO 27001 и другое.

Открыть глоссарий

Сколько стоит пентест?

Честный разбор того, от чего зависит цена проекта и что входит в настоящее коммерческое предложение.

Читать гид по стоимости

Безопасность для вашей отрасли

Как мы подходим к тестированию безопасности и соответствию для финтех- и SaaS-компаний.

Посмотреть отрасли

Форматы работ и реальные сроки

Ориентировочные сроки. Итог зависит от объёма и согласованной модели угроз.

1-3 недели

Тестирование на проникновение

Web, mobile, API или внешний периметр.

2-4 недели

Аудит ИБ и документации

Инфраструктура, конфигурации и процессы.

3-6 недель

Red Team

Целевая имитация атаки по согласованному сценарию.

6-9 месяцев

Подготовка к ISO 27001

Внедрение СМИБ, документация и внутренний аудит.

3 + 3-12 мес

SOC 2 Type II

Внедрение средств контроля плюс период наблюдения.

3-6 месяцев

PCI DSS

Готовность к оценке QSA.

Не уверены, какой формат подойдёт?

Расскажите о системе и целях, и мы порекомендуем формат и объём работ. Первичная консультация бесплатна.