Интернет-гигант
Предоставляем аутсорс Red Team и AppSec по подписке.
- Регулярное тестирование новых сервисов
- Пентест дочерних компаний при M&A
- Встраивание в SDLC
Пентест и кибербезопасность для бигтеха и ИТ-компаний
Крупные технологические компании — приоритетная цель APT-групп, а их поверхность атаки меняется ежедневно: тысячи серверов, микросервисы, облака и новые продукты каждый месяц. Большинство крупных бигтехов России выбирают DeteAct для пентестов: мы оцениваем защищённость 8 из 10 крупнейших технологических компаний и работаем как внешняя Red Team и AppSec по подписке.
Что обычно тестируем в отрасли
- Объекты
- Внешний периметр, микросервисы и API, Kubernetes и облака, b2c-приложения, дочерние компании, офисы и сотрудники
- Драйверы
- Целевые атаки APT, международные стандарты и требования разных юрисдикций, ЦБ РФ, РКН, РБПО, PCI DSS, зрелый SSDLC и bug bounty
- Типовые сценарии
- Компрометация через забытый сервис периметра, продвижение по микросервисам, атака через приобретённую компанию, обход SOC
- Формат работы
- Рамочные соглашения, аутсорс Red Team и AppSec по подписке, ежегодное тестирование продуктов, непрерывный пентест
Чем отличается безопасность бигтеха
Масштаб: управлять безопасностью тысяч серверов, микросервисов и облачных ресурсов невозможно разовыми проверками. Архитектура: микросервисы, контейнеры, API и распределённые системы создают множество точек атаки, а непрерывная работа критичных сервисов требует минимального воздействия на производительность.
Изменчивость: большое количество разработчиков и нового кода, ежемесячно запускаемые фичи и продукты означают, что защищённость нужно подтверждать постоянно, а не раз в год. Регуляторика: соответствие международным стандартам и требованиям разных юрисдикций. И главное — крупные технологические компании являются приоритетными целями для APT-групп и государственных хакеров.
Поэтому для бигтеха мы строим не проект, а процесс: непрерывный контроль периметра, регулярное тестирование новых сервисов, встраивание в SDLC и периодические киберучения, проверяющие всю цепочку защиты.
Модель угроз и что проверяем
Состав работ для крупной компании всегда собирается из нескольких направлений с общей моделью недопустимых событий.
| Актив | Угроза | Что проверяем |
|---|---|---|
| Внешний периметр в тысячи хостов | Забытые сервисы, тестовые контуры, устаревшие версии, утечки учётных данных | Инвентаризация и непрерывное сканирование периметра платформой EASM, ручная валидация, уведомления о новых активах |
| Микросервисы, контейнеры и API | Ошибки авторизации между сервисами, компрометация через внутренние API, выход из контейнера | Пентест Kubernetes и облаков, межсервисная аутентификация, API-шлюзы, секреты в конфигурациях |
| Ежемесячно выпускаемые продукты и фичи | Регресс безопасности при высокой скорости изменений | Регулярный анализ защищённости в рамках SDLC, сканеры в CI/CD, аудит кода критичных компонентов |
| Приобретаемые компании | Интеграция недоверенной инфраструктуры и продуктов в корпоративный контур | Пентест M&A и технический due diligence до интеграции |
| Корпорация как цель APT | Целевые атаки до недопустимых событий, обход средств защиты и SOC | Red и purple teaming по kill chain, проверка детектирования и реагирования |
| Офисы и физическая безопасность | Проникновение в офис, атаки на сетевую инфраструктуру и сотрудников | Пентест офисов, Wi-Fi, социотехническое тестирование |
Услуги для технологических компаний
Тестирование на проникновение, аутсорс процессов ИБ, безопасная разработка и аудит безопасности, включая оценку соответствия и compromise assessment.
Непрерывный мониторинг защищённости периметра продуктом DeteAct EASM с экспертным сопровождением.
Red и purple teaming: проверка контролей безопасности на всём пути атакующих по kill chain; непрерывный red teaming по подписке.
Пентест инфраструктуры, k8s и облаков, b2c-приложений, офисов; оценка приобретаемых компаний при M&A.
Построение пайплайнов безопасности в CI/CD и регулярный анализ защищённости в рамках SDLC; аутсорс команды AppSec.
Аудит безопасности кода и анализ требований безопасности для новых продуктов.
Проверка устойчивости тысяч сотрудников к фишингу и претекстингу.
Соответствие требованиям ЦБ РФ, РКН, РБПО, PCI DSS; оценка соответствия и аудит инфраструктуры.
Также решаем любые другие задачи практической кибербезопасности: compromise assessment, анализ требований безопасности, консалтинг и аутсорс функций внутренних команд Red Team и AppSec.
Процессы и требования, с которыми работаем
У зрелых компаний уже есть bug bounty, SSDLC и внутренние команды. Мы встраиваемся в существующие процессы, а не заменяем их.
- SSDLC и AppSec
- Анализ требований безопасности, сканеры в CI/CD, регулярный анализ защищённости релизов, аудит кода; платформа ASPM для агрегации результатов
- Bug bounty
- Пентест дополняет программу: проверяем то, что исследователи не видят без доступа, и верифицируем критичные классы находок
- Регуляторы
- Соответствие требованиям ЦБ РФ, РКН, РБПО, PCI DSS и международных стандартов для разных юрисдикций
- Непрерывный контроль
- DeteAct EASM: Единственная в России платформа EASM, созданная настоящей командой пентестеров на основе многолетнего опыта: инвентаризация внешних активов, более 20 модулей сканирования, ИИ-триаж находок, упор на практическую защищённость, а не только на требования регуляторов. Включена в Реестр российского ПО.
Опыт работы с бигтехом
Наша команда обеспечивает оценку защищённости в 8 из 10 крупнейших технологических компаний России.
Команда экспертов
Специалисты с многолетним опытом пентестов крупных компаний: высокая нагрузка, сложная архитектура, строгие требования к производительности.
Релевантный опыт
Умеем решать реальные проблемы бизнеса и менеджмента, а не только находить уязвимости.
Коммуникация в корпорации
Выстраиваем работу с CISO, техническими командами, советами директоров и аудиторами при пересечении интересов бизнеса, IT и ИБ.
Гибкий формат
Минимальное воздействие на бизнес-процессы, быстрое внедрение, рамочные соглашения и подписка вместо разовых проектов.
Из практики
Примеры проектов с крупными технологическими компаниями. Названия не раскрываем по условиям NDA.
Технологический холдинг
Проводим ежегодное тестирование продуктов и сервисов.
- Пентест Kubernetes и облаков
- Аудит клиентских b2c-приложений
- Пентест офисов и физической безопасности
Вопросы от технологических компаний
Как вы работаете с инфраструктурой из тысяч серверов и сотен сервисов?
Разовый пентест такого масштаба не даёт покрытия, поэтому мы сочетаем непрерывное сканирование периметра платформой DeteAct EASM, ручную валидацию находок, регулярное тестирование новых сервисов и глубокие проверки критичных компонентов. Приоритеты определяем вместе с вашей ИБ-командой по модели недопустимых событий.
Что такое аутсорс Red Team и AppSec по подписке?
Долгосрочная работа по рамочному соглашению: мы выделяем ресурсы для постоянной работы в контуре компании, проводим непрерывный red teaming, регулярные пентесты продуктов и сопровождаем процесс безопасной разработки. Это замена или усиление внутренних команд Red Team и AppSec без найма.
Зачем нужен пентест при M&A?
Перед интеграцией приобретаемой компании в корпоративную инфраструктуру важно понимать её реальный уровень защищённости: скрытые компрометации, уязвимые продукты, слабые процессы. Мы проводим оценку защищённости и технический due diligence, чтобы риски были известны до объединения сетей и продуктов.
Чем purple teaming отличается от red teaming?
Red teaming проверяет контроли скрытно: SOC не знает о ходе учений. Purple teaming проводится совместно с защитниками: каждая техника атаки сразу сверяется с детектированием и реагированием, что быстрее улучшает покрытие SOC. Для крупных компаний часто полезна комбинация обоих форматов.
Как минимизировать влияние на производительность сервисов?
Согласуем окна и интенсивность, исключаем разрушающие и нагрузочные проверки, используем выделенные стенды там, где это возможно, и фиксируем контакты для экстренной остановки работ. Критические находки сообщаем в день обнаружения.
Умеете ли вы работать с корпоративными согласованиями?
Да. Мы знаем специфику ИБ в корпорациях: большие команды, сложные согласования, пересечение интересов бизнеса, IT, ИБ и аудиторов. Выстраиваем коммуникацию с CISO, техническими командами и советами директоров, отделяя резюме для руководства от технической части отчёта.
Обсудить проект для технологической компании
Расскажите о масштабе инфраструктуры, текущих процессах AppSec и целях: разовая проверка, непрерывный контроль периметра или внешняя Red Team по подписке. Предложим формат и состав работ в течение одного-двух рабочих дней.
- Почта
- info@deteact.ru
- Телефон
- +7 499 444-12-46
- Офис
- Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
- Лицензия
- ФСТЭК России №Л024-00107-00/00581935
Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.