Анализ защищённости и оценка уязвимостей
Зачем нужен анализ защищенности
Что мы проверяем
- Проверим ваш сайт или веб-приложение на самые актуальные угрозы по стандартам OWASP WSTG.
Найдем слабые места в коде и бизнес-логике, которые могут привести к взлому и утечке данных.
Результат: вы получите технический отчет обо всех уязвимостях и пошаговый план, как защитить сайт от взлома и парсинга. - Сильная команда — ваша лучшая защита.
Сымитируем фишинговую рассылку и другие сценарии, чтобы научить ваш персонал распознавать уловки мошенников и уверенно им противостоять.
Результат: Вы получите отчет об уровне осведомленности команды и рекомендации по обучению, которые превратят сотрудников в надежных союзников в защите компании. - Просканируем вашу ИТ-инфраструктуру, имитируя атаку изнутри и снаружи.
Проверим серверы, рабочие станции и Wi-Fi на наличие слабых мест, которыми может воспользоваться злоумышленник.
Результат: Вы получите карту рисков вашей сети и пошаговый план по настройке защиты и минимизации угроз для всей ИТ-инфраструктуры.
Нужен не список уязвимостей, а проверка, дойдёт ли атакующий до данных?
Тестирование на проникновениеОт поиска до полного устранения рисков
Что вы получите
Проверка заканчивается не выгрузкой из сканера, а документами, с которыми можно работать.
Список уязвимостей
Каждая находка подтверждена вручную и оценена по CVSS - международной шкале критичности. Ложные срабатывания сканеров в отчёт не попадают.
Технический отчёт
Как воспроизвести каждую уязвимость и как её закрыть. Для ваших ИТ-специалистов и подрядчиков, которые будут это делать.
Сводка для руководства
Что нашли, чем это грозит бизнесу и что закрывать первым. Без технических терминов: документ можно показать собственнику или совету директоров.
План устранения
Порядок действий, а не список из ста пунктов: сначала то, что открывает реальный путь внутрь, потом остальное.
Все материалы передаются только вам. До начала работ подписываем соглашение о неразглашении.
Частые вопросы
Что такое анализ защищённости простыми словами?
Это поиск слабых мест во всём, до чего может дотянуться злоумышленник: сайты и веб-приложения, серверы и рабочие станции, локальная сеть и Wi-Fi, сами сотрудники.
Сначала работают сканеры, потом специалисты руками проверяют то, что сканеры пропускают, - логические ошибки и нетривиальные связки. На выходе список уязвимостей с приоритетами и планом устранения.
Чем анализ защищённости отличается от пентеста?
Анализ защищённости отвечает на вопрос «где у нас дыры»: важен охват, проверяются все точки входа, результат - список уязвимостей.
Пентест отвечает на вопрос «а нас реально взломают»: важна глубина, специалисты пробуют дойти до конкретной цели.
Если проверок не было никогда, начинать логичнее отсюда. Подробнее про тестирование на проникновение.
Чем это отличается от сканера, который можно купить самим?
Сканер выдаёт сырой список срабатываний, в котором часть - ложные, часть неприменима к вашей конфигурации, а самое опасное часто отсутствует: ошибки в бизнес-логике сканеры не видят.
Мы подтверждаем каждую находку вручную, отсеиваем ложные срабатывания и оцениваем критичность по CVSS. Разница между «сканер нашёл 400 пунктов» и «вот 12 реальных проблем, начните с этих трёх».
Проверка может положить наш сайт?
Границы работ и допустимые методы согласуются письменно до старта. Разрушающие проверки - вывод сервисов из строя, изменение и удаление данных - в программу не входят.
Если сайт критичен для продаж, время самых нагруженных проверок согласуем отдельно.
Нужен ли доступ к исходному коду?
Не обязателен. Проверка возможна снаружи, как это делает злоумышленник, - метод «чёрного ящика».
Если дать доступ к коду или учётным записям, находок будет больше: по методу «серого ящика» мы нашли ошибку в логике ценообразования, из-за которой можно было заказать пять тонн товара за рубль.
Как часто нужно проверять?
Каждый раз, когда меняется то, что доступно снаружи: выкатили новый функционал сайта, открыли сервис в интернет, переехали на другой хостинг, подключили подрядчика к своей сети.
Между такими событиями уязвимости появляются сами: выходят новые уязвимости в том программном обеспечении, которое уже стоит и не меняется.
Что делать с найденными уязвимостями?
Закрывать по порядку из плана. Он приоритизирован по CVSS, поэтому не нужно решать, за что хвататься первым.
Устранять может ваша команда или ваш подрядчик - в отчёте написано, что именно менять. Если своих людей нет, эту часть тоже берём на себя.
свяжется с вами, чтобы обсудить ваш проект, ответить на вопросы и подготовить индивидуальное предложение по анализу защищенности.