Перейти к содержимому
FALCON SECURITY

Услуга

Найдём раньше, чем найдёт атакующий.

Web, мобильные приложения, API и внешняя инфраструктура. Black-box или gray-box по методологиям OWASP и PTES; каждая находка подтверждается эксплуатацией.

  • Web
  • Мобильные
  • API
  • Инфраструктура
Запросить бесплатную проверку
Penetration testing

Зачем это

Проблема

Сканер находит известное. Ошибку бизнес-логики, цепочку повышения привилегий, неправильно настроенную интеграцию находит человек. Пентест — именно такая человеческая работа: систему проверяют так, как думает атакующий.

Наш ответ

Результат — не теоретический список: каждая находка действительно эксплуатируется, её влияние показано, а после исправления она перепроверяется.

Что входит

06 модулей

Penetration testing

  • Web
  • Мобильные
  • API
  • Инфраструктура
  • 01

    Web-приложения

    OWASP Top 10 и за его пределами: аутентификация, сессии, права, бизнес-логика, загрузка файлов.

  • 02

    Мобильные приложения

    iOS и Android: локальное хранение, безопасность транспорта, связь с API, устойчивость к реверс-инжинирингу.

  • 03

    API

    REST и GraphQL: пробелы авторизации, избыточные данные, ограничения частоты, права на уровне объектов.

  • 04

    Внешняя инфраструктура

    Открытые сервисы, версии, ошибки конфигурации, забытые поддомены.

  • 05

    Black-box и gray-box

    Без знаний или с учётной записью: охват и глубина согласуются с вами.

  • 06

    Повторная проверка

    После исправлений закрытые находки подтверждаются, оставшиеся открытыми фиксируются.

Как проходит

04 этапа

  1. 01

    Охват

    Что проверяется, какие методы разрешены и окно времени подтверждаются письменно.

  2. 02

    Разведка и сканирование

    Внешняя поверхность картируется и сравнивается с базой известных уязвимостей.

  3. 03

    Ручная проверка

    Часть, которую не видит автоматика: логика, права, цепочки. Находка подтверждается эксплуатацией.

  4. 04

    Отчёт и перепроверка

    Отчёт по приоритету, консультация по исправлению, затем retest.

Что вы получаете

  1. 01

    Технический отчёт

    Каждая находка: шаги воспроизведения, доказательство, влияние, способ закрытия.

  2. 02

    Резюме для руководства

    Общее состояние риска, три главных вопроса, с чего начать.

  3. 03

    Документ retest

    Итоговый статус закрытых и оставшихся открытыми находок.

Вопросы

Все услуги
Сколько длится?

Зависит от охвата: одно web-приложение обычно одна-две недели, широкая инфраструктура дольше. Срок называется на этапе охвата.

Есть ли риск для рабочей системы?

Опасные действия (DoS, изменение данных) исключаются заранее или выполняются в тестовой среде. Окно времени согласуется с вами.

Выдаётся ли официальное заключение?

Да, заключение о проведённой проверке и итоговом состоянии — для регулятора или партнёра.

Как часто нужно проводить?

После каждого крупного релиза и минимум раз в год. В промежутке непрерывное покрытие даёт BugOne.

Начнём

Начнём с бесплатной внешней проверки

Укажите домен — мы дадим предварительный отчёт по вашей внешней поверхности атаки и утёкшим учётным записям. Ничего не устанавливается и не блокируется; по результату согласуем охват.

  • Поддомены, открытые порты и просроченные сертификаты
  • Корпоративные учётные записи, встреченные в утечках
  • Три самых важных вопроса и с чего начать

Напишите нам

Укажите домен, примерный объём и сроки — в первом же ответе дадим конкретное предложение. NDA — по вашему запросу.