B2B SaaS-платформа
Полный цикл тестирования корпоративной SaaS-платформы перед выходом на крупных заказчиков.
- Пентест веб-приложения и API
- Тестирование изоляции данных между клиентами
- Подготовка технического отчёта и заключения для клиентов
Пентест и кибербезопасность для SaaS и стартапов
Для SaaS-платформы главный риск — доступ одного клиента к данным другого, а главный драйвер — вопросы безопасности от enterprise-заказчиков. Мы тестируем веб-приложения, REST и GraphQL API, мобильные клиенты и облачную инфраструктуру стартапов, проверяем мультитенантную изоляцию и готовим заключения, которые закрывают вопросы безопасности в b2b-сделках — те же, что задают нам крупные банки и бигтехи.
Что обычно тестируем в отрасли
- Объекты
- Веб-приложение и пользовательские интерфейсы, REST и GraphQL API, микросервисы, облачная инфраструктура и Kubernetes, мобильные приложения, интеграции с внешними сервисами
- Драйверы
- Запросы enterprise-клиентов и анкеты due diligence, 152-ФЗ, 420-ФЗ, GDPR, SOC 2, ISO 27001
- Типовые сценарии
- Доступ к данным другого тенанта, захват учётной записи, злоупотребление API без лимитов, компрометация через интеграцию
- Состав проекта
- Пентест веб-приложения и API в формате «серый ящик» с несколькими тенантами, пентест мобильного клиента, проверки в CI/CD, заключение для клиентов
Вызовы быстрорастущих продуктов
Мультитенантность требует тщательного проектирования изоляции данных и ресурсов между клиентами. Подход API-first создаёт большое количество эндпоинтов и обширную поверхность атаки, а множественные интеграции с внешними сервисами добавляют векторы атак и точки отказа.
Быстрые релизы означают, что безопасность должна быть встроена в CI/CD и автоматизирована, иначе каждое обновление может откатить защищённость. Динамическое масштабирование ресурсов требует безопасности в условиях высокой нагрузки. И всё это — на фоне требований 152-ФЗ, 420-ФЗ, GDPR, SOC 2, ISO 27001 и анкет enterprise-клиентов, без которых не закрываются крупные сделки.
Мы работаем с современными стеками — микросервисы, контейнеры, serverless — и понимаем вызовы быстрого развития и масштабирования SaaS-продуктов: наш опыт охватывает SaaS-решения разных масштабов, отраслей, географий и технологий.
Модель угроз и что проверяем
Изоляция тенантов и авторизация в API — первые две строки таблицы и первые две причины инцидентов в SaaS.
| Актив | Угроза | Что проверяем |
|---|---|---|
| Мультитенантная платформа | Доступ к данным другого клиента через ошибку авторизации или общий ресурс | Изоляция данных и ресурсов между тенантами на уровне API, базы, очередей, файловых хранилищ и фоновых задач |
| REST и GraphQL API | Обход авторизации, перебор объектов, злоупотребление вложенными запросами, отсутствие лимитов | Аутентификация и авторизация, объектный доступ, rate limiting, интроспекция и сложность запросов GraphQL |
| Веб-приложение и пользовательские интерфейсы | Захват учётных записей, атаки на сессии, кража данных через фронтенд | Тестирование аутентификации, сессионной безопасности, SSO и приглашений, клиентского кода |
| Интеграции третьих сторон | Компрометация через вебхуки, OAuth-приложения и внешние API | Безопасность интеграций, обработка входящих данных, права токенов, точки отказа |
| CI/CD и быстрые релизы | Регресс безопасности при частых обновлениях | Сканеры в пайплайне, автоматизированные проверки, регулярный анализ релизов |
| Облачная инфраструктура и контейнеры | Ошибки конфигурации, уязвимые образы, компрометация кластера | Пентест облачной инфраструктуры, контейнерная безопасность, Kubernetes |
| Мобильные приложения платформы | Извлечение токенов, атаки на API через клиент | Пентест iOS и Android, локальное хранение данных, интеграции API |
Услуги для SaaS и стартапов
Веб-безопасность SaaS, API security, облачная безопасность, консалтинг: соответствие стандартам и встраивание безопасности в разработку.
Веб-приложения и REST/GraphQL API SaaS-платформ: аутентификация, авторизация, изоляция тенантов, rate limiting.
Мобильные приложения SaaS-продуктов на iOS и Android, включая локальное хранение данных и интеграции API.
Облачная инфраструктура, контейнеры и Kubernetes, на которых работает платформа.
DevSecOps для SaaS: безопасность в CI/CD с автоматизированным тестированием при частых релизах.
Непрерывный мониторинг периметра платформой EASM и регулярные пентесты между релизами.
Отчёты и заключения для enterprise-клиентов, 152-ФЗ, 420-ФЗ, GDPR, SOC 2, ISO 27001.
Аудит кода критичных модулей: авторизация, биллинг, изоляция данных.
Стандарты и запросы клиентов
Для стартапа пентест чаще всего нужен не регулятору, а покупателю. Готовим документы под оба сценария.
- Enterprise-клиенты
- Техническое заключение по результатам пентеста для анкет безопасности и due diligence; помощь в b2e-продажах
- SOC 2 и ISO 27001
- Регулярное тестирование безопасности и подтверждённое устранение находок как требование аудиторов
- 152-ФЗ и 420-ФЗ
- Защита персональных данных пользователей и требования к обработке данных в России
- GDPR
- Подтверждение технических мер защиты данных пользователей из ЕС
Опыт работы с SaaS-платформами
Мы тестировали безопасность SaaS-решений разных масштабов, отраслей, географий и технологических стеков — и сами являемся небольшой продуктовой компанией.
Экспертиза в безопасности SaaS
Понимаем мультитенантные архитектуры, облачные сервисы и мобильные приложения.
API security
Специализация на тестировании REST и GraphQL API: авторизация, объектный доступ, лимиты.
Помощь в продажах
Заключения для enterprise-клиентов и встраивание безопасности в процессы разработки и CI/CD.
Результаты
Наши специалисты находили критические уязвимости в SaaS-платформах и помогли предотвратить множество инцидентов.
Из практики
Примеры проектов с SaaS-компаниями и стартапами. Названия не раскрываем по условиям NDA.
Мобильное приложение
Тестирование безопасности мобильного приложения b2c-стартапа с интеграцией сторонних API.
- Пентест iOS и Android
- Анализ защищённости API-интеграций
- Тестирование локального хранения данных
Вопросы от SaaS-компаний и стартапов
Enterprise-клиент требует отчёт о пентесте. Что вы даёте?
Технический отчёт по результатам тестирования и отдельное заключение для клиентов: область, методика, перечень классов проверок, сводка находок со статусами устранения и подтверждение перепроверки. Такой документ закрывает вопросы безопасности в b2b-продажах и анкетах due diligence без раскрытия чувствительных деталей.
Как вы проверяете изоляцию данных между клиентами?
Создаём несколько тестовых тенантов с разными ролями и систематически проверяем все точки, где данные могут пересечься: API и объектные идентификаторы, поиск и экспорт, файлы и вложения, фоновые задачи, очереди, кэш, отчёты и интеграции. Это главный класс проверок для любого SaaS.
Что особенного в тестировании GraphQL API?
Помимо классических проверок авторизации, смотрим интроспекцию, вложенные и пакетные запросы, лимиты сложности и глубины, алиасы для обхода rate limiting, а также доступ к объектам через связи между типами.
Как часто стартапу нужен пентест при еженедельных релизах?
Полный пентест обычно проводят раз в год и после крупных изменений архитектуры, а между ними безопасность поддерживают автоматизированные проверки в CI/CD и непрерывный мониторинг периметра. Мы помогаем выстроить именно такую комбинацию, а не продаём только разовые проекты.
Подходит ли ваш пентест для SOC 2, ISO 27001 и GDPR?
Да. Эти стандарты и регламенты, как и 152-ФЗ и 420-ФЗ, ожидают регулярное тестирование безопасности и устранение находок. Отчёт содержит область, методику и статусы устранения, которые запрашивают аудиторы и enterprise-клиенты.
У нас небольшая команда и ограниченный бюджет. С чего начать?
Мы сами небольшая компания и понимаем специфику быстрого роста и нехватки ресурсов. Обычно начинаем с пентеста веб-приложения и API в формате «серый ящик» с упором на изоляцию тенантов и авторизацию, а затем добавляем проверки в CI/CD. Состав и стоимость фиксируем после скоупинга за один-два рабочих дня.
Обсудить проект для SaaS или стартапа
Пришлите адрес стенда, описание API и число ролей и тенантов. Предложим состав работ с упором на изоляцию клиентов и авторизацию и зафиксируем стоимость и сроки в течение одного-двух рабочих дней. NDA подписываем до получения любых данных.
- Почта
- info@deteact.ru
- Телефон
- +7 499 444-12-46
- Офис
- Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
- Лицензия
- ФСТЭК России №Л024-00107-00/00581935
Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.