Новий сервіс або зміни в інфраструктурі
Перед запуском сайту, API, віддаленого доступу чи після міграції. Потрібно зрозуміти, які ризики з’явилися разом зі змінами.
Кібербезпека бізнесу. Від оцінки до дій.
Аудит кібербезпеки.Пентест.
Знайдіть слабкі місця у захисті, зрозумійте їхній вплив на бізнес і отримайте план виправлень.
Аудит систем і процесівТестування на проникненняЗвіт і пріоритети
01Коли варто перевірити захист
Системи працюють.
А наскільки вони захищені?
Перевірка допомагає приймати рішення про безпеку на основі фактів.
Доступів і систем стає більше
Зростає команда, додаються підрядники й хмарні сервіси. Важливо перевірити права, налаштування та правила роботи з даними.
Потрібен зрозумілий план посилення захисту
Що виправляти насамперед, які зміни планувати далі та як пояснити їхню необхідність керівництву.
02Два формати перевірки
Аудит показує стан захисту.
Пентест перевіряє його на практиці.
Формати доповнюють один одного. Можна почати з одного або поєднати їх у спільному проєкті.
Як організований
ваш захист?
Аналізуємо системи, налаштування, доступи та процеси. Зіставляємо їх із ризиками й потребами компанії.
- У центрі уваги
- Поточний стан, прогалини та керування ризиками.
- На виході
- Оцінка стану захисту та пріоритетний план покращень.
Що можна використати
для атаки?
Перевіряємо можливість використання вразливостей у погоджених системах та оцінюємо практичні наслідки.
- У центрі уваги
- Підтверджені слабкі місця та сценарії їх використання.
- На виході
- Технічні знахідки, оцінка впливу та рекомендації з усунення.
03Аудит кібербезпеки
Побачити систему захисту
цілісно
Техніка, доступи та щоденні процеси мають працювати узгоджено.
Визначаємо критичні активи й дані, розбираємо архітектуру, налаштування систем та розподіл відповідальності. Перевіряємо, де фактична робота відрізняється від установлених правил.
До погодженого обсягу можуть входити мережі, програмне забезпечення, керування доступом, резервне копіювання, журнали подій, політики та готовність до реагування на інциденти.
ІнфраструктураДоступиПроцесиРекомендації
04Пентест
Перевірити можливий вплив.
У погоджених межах.
Визначаємо об’єкти, вихідну точку та глибину тестування під вашу задачу.
ПОГЛЯД З ІНТЕРНЕТУЩо доступно ззовні
Що доступно ззовні
і до чого це може призвести?
Перевірка погоджених публічних адрес, сервісів і точок віддаленого доступу. Аналізуємо виявлені слабкі місця та можливість їх використання.
Конкретні домени, адреси, сервіси та допустимі дії визначаємо перед початком.
ВИХІДНА ТОЧКАЗовнішній користувачОБ’ЄКТИПублічні сервіси та периметрРЕЗУЛЬТАТПідтверджені ризики зовнішнього доступу
ПОГЛЯД ІЗСЕРЕДИНИЩо доступно після входу
Що доступно після входу
у внутрішнє середовище?
Моделюємо погоджену вихідну позицію в мережі або обліковий запис із визначеними правами. Перевіряємо розмежування доступів і можливість досягнення інших систем.
Рівень початкового доступу та перелік внутрішніх ресурсів фіксуємо в завданні.
ВИХІДНА ТОЧКАПогоджений доступ до мережі або акаунтаОБ’ЄКТИВнутрішні системи та межі доступуРЕЗУЛЬТАТОцінка впливу внутрішньої компрометації
ПЕРЕВІРКА ЗАСТОСУНКУЯк сервіс захищає
Як сервіс захищає
дані та дії користувачів?
Перевіряємо погоджені функції вебзастосунку або API: вхід, сесії, права ролей, обробку даних і бізнес-логіку. Поєднуємо інструментальні та ручні перевірки.
Ролі користувачів, тестові акаунти, середовище та ключові сценарії погоджуємо заздалегідь.
ВИХІДНА ТОЧКАБез авторизації та з погодженими ролямиОБ’ЄКТИВебзастосунок і його APIРЕЗУЛЬТАТПідтверджені проблеми та рекомендації розробникам
05Склад перевірки
Від зовнішнього периметра
до внутрішніх правил
Обираємо потрібні напрями. Конкретний перелік перевірок залежить від формату, архітектури та погоджених доступів.
Мережі та інфраструктура
Зовнішні й внутрішні сервіси, віддалений доступ, конфігурації та розділення мережевих сегментів.
Вебсервіси та API
Автентифікація, керування сесіями, права користувачів, обробка запитів і важливі сценарії роботи.
Доступ до даних
Облікові записи, адміністративні права, доступи підрядників і захист конфіденційної інформації.
Системи та програмне забезпечення
Налаштування безпеки, актуальність компонентів і стан погоджених серверів, робочих станцій або хмарних ресурсів.
Відновлення та реагування
Порядок резервного копіювання, перевірка відновлення за окремим завданням, журналювання й дії при інциденті.
Політики та відповідальність
Правила роботи, керування змінами, розподіл ролей і організаційні прогалини, які впливають на технічний захист.
Автоматичне сканування може бути частиною перевірки.
Для оцінки ризику потрібні перевірка результатів, контекст системи та аналіз можливого впливу. Склад ручних і інструментальних робіт визначаємо в завданні.
06Порядок роботи
Від задачі бізнесу
до плану виправлень
Обсяг, умови й очікуваний результат погоджуємо до початку перевірки.
- 01
Визначаємо задачу
Що захищаємо, які ризики важливі та яке рішення потрібно прийняти.
- 02
Погоджуємо межі
Системи, доступи, методи, час робіт, винятки та відповідальні контакти.
- 03
Проводимо перевірку
Аналізуємо матеріали й налаштування, виконуємо погоджені технічні перевірки.
- 04
Оцінюємо знахідки
Уточнюємо результати та визначаємо вплив і пріоритет усунення.
- 05
Передаємо результат
Звіт, пояснення висновків та обговорення наступних кроків із командою.
07Результат для компанії
Що знайшли.
Чому це важливо.
Як виправити.
Керівництву потрібна оцінка ризиків. Технічній команді потрібні конкретні дії.
Готуємо висновки для бізнесу та технічну частину з описом перевірених об’єктів, знахідок, обмежень і рекомендацій. Для підтверджених проблем пентесту наводимо матеріали, потрібні команді для перевірки та виправлення.
Результати передаємо погодженим способом. Під час обговорення допомагаємо визначити послідовність робіт.
Структура результату
ОбсягЩо перевірено і які були обмеження
ЗнахідкиОпис, підтвердження та контекст
ВпливРизик для систем і бізнес-процесів
ПріоритетиЩо виправляти насамперед
РекомендаціїДії для усунення та посилення захисту
Склад і рівень деталізації звіту залежать від погодженого формату перевірки.
08Після звіту
Перетворити висновки
на зміни
Звіт стає основою для роботи вашої команди. Подальший супровід і повторну перевірку можна погодити окремо.
Узгодити пріоритети
Обговорюємо термінові виправлення, системні зміни та залежності між задачами.
Уточнити технічні рекомендації
За окремим погодженням консультуємо команду під час усунення виявлених проблем.
Перевірити виправлення
Повертаємося до погоджених знахідок і перевіряємо, чи усунуто проблему. Обсяг і строки ретесту визначаємо окремо.
09Склад, строки та вартість
Перевірка під ваші системи.
Зрозумілі умови до старту.
Вартість визначаємо після уточнення задачі та меж перевірки.
- Формат: аудит, пентест або їх поєднання.
- Кількість і складність систем, адрес, застосунків та ролей.
- Наявність документації, тестових акаунтів і доступів.
- Глибина перевірки, середовище та допустимий час робіт.
- Формат звіту, обговорення результатів і потреба в ретесті.
10Перед зверненням
Питання про аудит
і пентест
З чого почати, якщо ми не знаємо, який формат потрібен?
Опишіть системи та задачу: запуск сервісу, перевірка доступів, оцінка інфраструктури чи підтвердження конкретного ризику. Допоможемо визначити доцільний формат і межі першого етапу.
Чи можна замовити аудит і пентест разом?
Так. Поєднання дозволяє розглянути стан захисту та окремо перевірити практичні сценарії. Об’єкти, послідовність і склад результатів погоджуємо в одному проєкті.
Чим пентест відрізняється від сканування вразливостей?
Сканування допомагає знаходити потенційні проблеми. Пентест включає перевірку знахідок у контексті системи та оцінку можливого використання вразливостей у погоджених межах. Автоматичні інструменти можуть бути частиною цієї роботи.
Чи вплине перевірка на роботу сервісів?
Перед початком обговорюємо чутливі системи, час, методи, обмеження та порядок зупинки робіт. За можливості використовуємо тестове середовище. Допустимий вплив на робочі системи визначаємо разом із відповідальними за них.
Які матеріали й доступи потрібно підготувати?
Для першої розмови достатньо загального опису. Після визначення обсягу погодимо потрібні схеми, перелік ресурсів, документацію та тестові облікові записи. Паролі й конфіденційні матеріали передаємо узгодженим способом.
Чи входять виправлення та повторна перевірка у вартість?
Склад робіт фіксуємо в пропозиції. Усунення проблем, консультаційний супровід і ретест не вважаються автоматично включеними: їхній обсяг, строки та вартість погоджуємо окремо.
Чи є аудит сертифікацією за стандартом?
Оцінку готовності або відповідності окремим вимогам можна включити в завдання. Така перевірка сама по собі не означає отримання сертифіката. Конкретний стандарт, критерії та очікуваний результат визначаємо заздалегідь.
Пентест і Red Team є однією послугою?
Це різні формати. Пентест зосереджується на погоджених системах і вразливостях. Red Team може охоплювати ширший сценарій та перевірку виявлення і реагування. На цій сторінці пропонуємо аудит і пентест; ширші сценарії обговорюються окремо.
Якщо проблем не знайшли, чи означає це повну безпеку?
Висновок описує результати в межах погодженого обсягу, доступної інформації та часу перевірки. Він не гарантує відсутності всіх вразливостей або появи нових ризиків після змін у системах.
11Почнімо з вашої задачі
Зрозуміти ризики.
Визначити наступний крок.
Розкажіть, що потрібно перевірити. Допоможемо обрати формат, погодити обсяг і підготувати перевірку.