Security-аудит: Закроем дыры до взлома.

Аудит безопасности по OWASP Top 10: находим уязвимости, классифицируем по CVSS 3.1 и доводим до нуля критичных за 4 раунда. Каждая находка — с шагами воспроизведения и конкретным исправлением. Письменный отчёт по сути, без лишнего объёма.

Обсудить проект Прайс PDF

1–2 нед

срок аудита

OWASP

все 10 категорий Top 10 2021

CVSS 3.1

оценка каждой находки

152-ФЗ

чек-лист по персональным данным

УЗНАЁТЕ СЕБЯ?

Знакомая ситуация

Защиту никто не проверял

Сайт или сервис работает годами, а насколько он защищён, не знает никто. Обычно это выясняется после утечки или жалобы клиента.

В базе данные клиентов

Телефоны, адреса и заказы хранятся в вашей системе. Если их унесут посторонние, объясняться придётся и с клиентами, и с РКН.

Отчёт сканера не читают

Автоматическая проверка выдала сотни строк на английском. Разработчики не понимают, что из этого опасно, и откладывают разбор.

Починили, но не перепроверили

Программист говорит, что уязвимость закрыта, а проверить это некому. Ошибка остаётся или появляется рядом, и узнают об этом поздно.

ЧТО ВЫ ПОЛУЧАЕТЕ

Польза для бизнеса

Ноль критичных

Доводим до нуля критичных уязвимостей за 4 раунда: находим, вы (или мы) чините, мы перепроверяем. Доводим находки до закрытия, а не до списка.

Полный OWASP Top 10

Прогон по всем 10 категориям OWASP 2021: auth, доступы, секреты, конфигурация, инъекции. Каждая категория проверяется вручную, без пропусков.

Находки с исправлением

Каждая уязвимость — с CVSS 3.1, CWE-ID, шагами воспроизведения и конкретным способом починить. Разработчик правит по инструкции, а не гадает.

Без привязки к подрядчику

Отдаём отчёт и исправления вам. Чините своей командой или нашей — данные и код остаются у вас, в РФ, под 152-ФЗ.

ЧТО ВХОДИТ

Сжатый разбор по сути: что нашли, насколько опасно, как воспроизвести и как починить — с перепроверкой после исправлений.

OWASP Top 10 — полный прогон

Проходим все 10 категорий OWASP 2021: контроль доступа, криптография, инъекции, небезопасная конфигурация, уязвимые компоненты, SSRF. Каждая находка фиксируется с классификацией.

10 категорий OWASP 2021 проверены
Auth, доступы (IDOR), управление сессиями
Секреты, конфигурация, заголовки, TLS
Уязвимые зависимости и компоненты

Классификация и приоритеты

Каждая находка — с оценкой опасности и шагами воспроизведения. Чётко разделяем: что критично перед релизом, а что можно отложить.

Severity по CVSS 3.1
CWE-ID для каждой находки
Шаги воспроизведения: 1-2-3
Приоритеты: критично сейчас / потом

Исправления и 4 раунда

Аудит не заканчивается отчётом. Вы (или мы) чините, мы перепроверяем — и так до нуля критичных. Обычно укладываемся в 4 раунда.

Конкретный способ починить каждую находку
Перепроверка после ваших исправлений
До 4 раундов в стоимости
Координация срочное исправление при критичных

152-ФЗ и хранение данных

Проверяем не только код, но и базовый комплаенс: согласия, резидентность данных, аудит-логи. Что критично перед проверкой РКН — выносим отдельно.

Чек-лист по 152-ФЗ для вашего стека
Резидентность данных (хранение в РФ)
Согласия на ОПД в точках сбора
Дорожная карта устранения, оценка в часах

КАК РАБОТАЕМ

От брифа до запуска

День 0NDA, доступы read-only, согласование объёмааудитор
День 1–3Прогон OWASP Top 10, фиксация находокаудитор
День 4–5Отчёт: CVSS, воспроизведение, исправление, 152-ФЗ, дорожная картааудитор
Раунд 2–3Перепроверка после ваших исправленийаудитор
Раунд 4Финальная сверка — цель «ноль критичных»аудитор
+ 14 днейОтветы на вопросы по отчётувключено

ПАКЕТЫ

Выберите объём

ЭКСПРЕСС-АУДИТ1 нед

Web-приложение средней сложности. OWASP Top 10, отчёт, 1 перепроверка.

OWASP Top 10 прогон
Находки с CVSS 3.1 + шаги воспроизведения
1 раунд перепроверки
Чек-лист 152-ФЗ
Активный пентест — не входит
API + mobile глубоко — не входит

Обсудить

ПОЛНЫЙ АУДИТ1–2 нед

OWASP Top 10 + API + конфигурация + 4 раунда до нуля критичных.

Всё из экспресс-аудита
API: auth / IDOR / rate-limit / CORS
Заголовки, TLS, секреты — глубоко
До 4 раундов перепроверки
152-ФЗ чек-лист + дорожная карта
Координация срочное исправление

Обсудить проект

АУДИТ + ПЕНТЕСТ2–3 нед

Аудит кода + активный пентест: и анализ, и реальная попытка взлома.

Полный аудит OWASP
Активный пентест (web + API)
Эксплуатация найденного
Видеоразбор критичных
Расширенная повторная проверка
Помощь с письмом в РКН

Обсудить объём

Стоимость пакетов — в прайсе. Точную смету считаем после разбора задачи, это бесплатно.

Прайс PDF

ЧАСТО СПРАШИВАЮТ

Вопросы по услуге

Что если найдёте 0 проблем?

В любом живом продукте есть что закрыть, поэтому такое почти не встречается. Но если критичного действительно нет — так и зафиксируем, без надуманных находок ради объёма. Вы платите за результат и достоверную оценку.

Какие доступы нужны и что вы видите?

Read-only к коду через защищённый канал, временный аккаунт без прод-доступа. NDA подписываем до старта. Аудиторы — резиденты РФ, данные не покидают страну.

Чем аудит отличается от пентеста?

Аудит — это анализ кода и конфигурации по OWASP с разбором каждой находки и фиксами. Пентест — активная попытка взлома «как злоумышленник». Часто берут связку: сначала аудит, потом пентест. Решаем на старте под вашу задачу.

Что значит «4 раунда» и «ноль критичных»?

Мы не просто отдаём список дыр, а доводим до результата: находим, вы (или мы) чините, мы перепроверяем — и так до нуля критичных уязвимостей. Обычно хватает 4 раундов, они уже в стоимости.

А 152-ФЗ и РКН?

В аудит входит чек-лист по 152-ФЗ: согласия, резидентность данных, аудит-логи. Что критично перед проверкой — выносим в дорожную карту. Само оформление (уведомление РКН) — отдельная работа, поможем с шаблонами.

Следующий шаг

Найдём дыры раньше злоумышленника.

Обсудить проект Аудит за 2 дня

СМОТРИТЕ ТАКЖЕ

← Все услугиSECURITY-АУДИТ