Пентест: Ломаем продукт первыми.
Активный пентест по OWASP WSTG и PTES: реальная попытка взлома до получения доступа и эскалации привилегий. Конкретные находки с CVSS 3.1 и шагами воспроизведения, видеоразбор критичных и 30 дней повторной проверки. Отчёт сжатый и по делу — только то, что важно для исправления.
Знакомая ситуация
Защищено только на словах
Подрядчик заверил, что всё надёжно, но никто не пробовал обойти вход в вашу систему. Слабое место первым находит посторонний.
Доступы шире, чем кажется
Из-за ошибки в правах обычный пользователь видит чужие заказы или попадает в управление сайтом. Узнают об этом по жалобе или утечке.
Партнёр просит отчёт
Крупный заказчик хочет подтверждения, что ваш сервис защищён, ещё до подписания договора. Без отчёта сделка встаёт на паузу.
Приложение не проверяли
Сайт смотрели, а мобильное приложение и его связь с сервером нет. Через него к тем же данным можно добраться другим путём.
Польза для бизнеса
Реальный взлом, не сканер
Ручная эксплуатация до получения доступа и эскалации привилегий, а не автоматический скан. Находим то, что сканеры пропускают.
По методологии
PTES + OWASP WSTG как чек-лист. Документируем каждый шаг, чтобы вы могли воспроизвести любую находку и убедиться, что она реальна.
Раньше злоумышленника
Находим уязвимости до того, как их найдут в реальной атаке. Дешевле заплатить за пентест, чем за утечку данных и штраф РКН.
Повторная проверка включена
30 дней повторной проверки: исправили — мы перепроверяем без доплаты. При критичных находках координируем срочное исправление.
Сжатый PDF, а не выгрузка сканера: что нашли, как воспроизвести, как починить — плюс видео по критичным находкам.
Что проверяем
Web (фронтенд + API) по OWASP WSTG, mobile (если есть) по OWASP MASVS, серверы — попутно. Без social engineering и DDoS — это отдельный red-team-формат.
- Web: полный прогон OWASP WSTG
- API: auth / authz / IDOR / rate-limit / CORS
- Mobile: OWASP MASVS (iOS + Android)
- Серверы: заголовки, TLS, секреты, SSRF
- Не делаем: social engineering, DDoS, destructive
Методология
Работаем по PTES + OWASP, а не на интуиции. Документируем шаг за шагом: разведка, поиск, эксплуатация, эскалация. Каждая находка воспроизводима по инструкции.
- PTES (Penetration Testing Execution Standard)
- OWASP WSTG / MASVS как чек-лист
- Разведка → эксплуатация → эскалация привилегий
- Шаги воспроизведения к каждой находке
Отчёт по сути
Сжатый PDF, а не шаблонная выгрузка. Каждая находка — severity, CVSS 3.1, CWE, как воспроизвести и как починить. По критичным — видеоразбор.
- Severity + CVSS 3.1 + CWE-ID
- Воспроизведение и конкретное исправление
- Видеоразбор критичных
- Сводка для руководства + детали для разработки
После пентеста
Уязвимость без исправления бесполезна. 30 дней повторной проверки в стоимости: исправили — перепроверяем. При критичных — координируем срочное исправление и помогаем с РКН.
- 30 дней повторных проверок — бесплатно
- Координация срочное исправление при критичных
- Помощь с письмом в РКН при утечке данных
- Долгосрочный мониторинг — отдельно
От брифа до запуска
- Неделя 0Scoping, NDA, согласование объёма-документапентестер
- Неделя 1Разведка, авто-инструменты, ручной глубокий разборпентестер
- Неделя 2Эксплуатация, эскалация, документацияпентестер
- + 1 деньПередача PDF + Zoom-разбор + критичныепентестер
- + 30 днейПовторная проверка после ваших исправлений — бесплатновключено
Выберите объём
Web-приложение средней сложности. OWASP WSTG. PDF + 30 дней повторных проверок.
- Web + API
- OWASP WSTG
- PDF + видео критичных
- 30 дней повторных проверок
- Mobile (iOS / Android) — не входит
- Серверы — глубокий разбор — не входит
Web + mobile + API + серверы. OWASP WSTG + MASVS. 60 дней повторных проверок.
- Web + mobile + API + серверы
- OWASP WSTG + MASVS
- Видео по критичным
- 60 дней повторных проверок
- Координация срочное исправление
- Помощь с письмом в РКН
Социальная инженерия, фишинг, физический тест, длительный доступ.
- Social engineering + фишинг
- Физический пентест
- Длительная persistence
- Покрытие MITRE ATT&CK
- Полный red-team отчёт
- Разбор с командой ИБ
Стоимость пакетов — в прайсе. Точную смету считаем после разбора задачи, это бесплатно.
Прайс PDF