DeteAct

Тестирование на проникновение

Анализ защищённости приложений, пентест и red teaming инфраструктуры, технический аудит любой сложности. Работу выполняет сильнейшая и крупнейшая независимая команда пентестеров в России — бренд на рынке с 2018 года, исследователи из топ-50 HackerOne; результат — отчёт с подтверждёнными находками, оценкой риска по CVSS и планом устранения.

Получить расчётВиды пентеста
Паспорт услуги
Объект
Веб- и мобильные приложения, API, внешняя и внутренняя инфраструктура, Active Directory, Wi-Fi, платёжные системы, IoT и смарт-контракты
Методология
OWASP WSTG и MASTG, PTES, NIST SP 800-115, MITRE ATT&CK; оценка риска по CVSS 3.1
Модель
Чёрный, серый или белый ящик; внешний нарушитель или сотрудник
Сроки
2–6 недель активной фазы, отчёт в течение недели
Результат
Отчёт с резюме для руководства, находками, PoC и рекомендациями; презентация результатов
Перепроверка
Одна контрольная, в течение 10 рабочих дней после запроса, включена в стоимость

Виды пентеста

Шесть направлений, которые закрывают большинство задач по оценке защищённости. Их можно комбинировать в одном проекте: например, внешний периметр плюс веб-приложения плюс платёжная логика.
НаправлениеОбъектЧто проверяемМодельТипичный срок
Анализ защищённости веб-приложений и APIВеб-приложения, REST/GraphQL API, личные кабинеты, админ-панелиИнъекции, авторизация между ролями, бизнес-логика, криптография, клиентская часть. Оценка уровня риска каждой находки, помощь в устранении и предотвращении повторенияСерый ящик (рекомендуем), чёрный, белый2–4 недели
Тестирование на проникновение инфраструктурыОфисные и Wi-Fi сети, производственная сеть, инфраструктура удалённой работы, Active DirectoryВнешний периметр, сегментация, повышение привилегий и горизонтальное продвижение в домене, парольные политики, устаревшие сервисыВнешний и внутренний пентест, с учётной записью сотрудника или без2–6 недель
Анализ защищённости мобильных приложенийПриложения iOS и Android и их серверные APIКлиентская часть: хранение данных, защита канала, обратная разработка; серверная часть: авторизация и логика APIСерый ящик, по OWASP MASVS/MASTG2–4 недели
Нагрузочное DDoS-тестированиеПубличные сервисы, каналы связи, провайдеры anti-DDoSСимуляция DDoS-атак через облачных провайдеров, проверка эффективности anti-DDoS, поиск слабых мест в приложениях и инфраструктуреРаспределённая атака с согласованной мощностью1–2 недели подготовки, до 3 часов атак
Пентест платёжных системМобильный и веб-банкинг, платёжные шлюзы и APIБезопасность и устойчивость к мошенничеству: манипуляции с суммами и балансами, обход лимитов и подтверждений, состояния гонки. Требования PCI DSS, FCA, Google PayСерый или белый ящик, с тестовыми счетами3–5 недель
Аудит безопасности сложных системIoT-устройства, криптографические алгоритмы, смарт-контракты блокчейна, нестандартные протоколыМоделирование угроз, анализ архитектуры и исходного кода, проверка реализации криптографии, эксплуатируемость находокБелый ящик с документацией и кодомпо результатам скоупинга

Отдельные страницы: red teaming, социальная инженерия, пентест Wi-Fi, аудит исходного кода.

Как мы работаем

Пять этапов, одинаковых для любого вида пентеста. Конкретные техники зависят от объекта и описаны на страницах отдельных услуг.
  1. 01

    Планирование и сбор информации

    Определяем объём работ: перечень систем, роли и учётные записи, модель нарушителя, окна тестирования и запрещённые действия. Согласовываем методологию и собираем информацию о целевых системах. Результат — план тестирования, по которому затем отслеживается покрытие.

  2. 02

    Анализ уязвимостей

    Инструментальное сканирование и ручной анализ систем: версии компонентов, конфигурации, парольные политики, логика приложений. Каждое срабатывание сканера верифицируем вручную, чтобы в отчёт не попали ложные находки.

  3. 03

    Эксплуатация уязвимостей

    Подтверждаем находки эксплуатацией в контролируемой среде и оцениваем реальный ущерб: какие данные доступны, какие системы скомпрометированы, можно ли развить атаку дальше. Критические уязвимости сообщаем в день обнаружения.

  4. 04

    Анализ и отчётность

    Передаём отчёт с описанием каждой уязвимости, оценкой риска по CVSS, шагами воспроизведения и конкретными рекомендациями. Проводим презентацию результатов для руководства и разбор с техническими командами, отвечаем на вопросы.

  5. 05

    Поддержка и повторное тестирование

    Консультируем в процессе устранения и проводим контрольную перепроверку в течение десяти рабочих дней после запроса в рамках гарантийного срока. Перепроверка подтверждает, что исправления сработали, и закрывает находки в отчёте.

Что входит в отчёт

Отчёт — основной результат проекта. Он содержит не только описание уязвимостей, но и конкретные рекомендации по их устранению, и рассчитан на три аудитории: руководство, ИБ-команду и разработчиков или администраторов.

Методология и структура отчёта
Резюме
Оценка общего уровня защищённости, ключевые риски и первоочередные меры в формате для руководства
Область и методика
Перечень проверенных систем, роли, модель нарушителя и угроз, использованные стандарты и инструменты
Находки
Каждая уязвимость с уровнем риска по CVSS, шагами воспроизведения, доказательством (PoC) и рекомендацией по устранению
Цепочки атак
Как отдельные находки комбинируются в путь до чувствительных данных или критичных систем
Статистика
Распределение находок по уровням риска и классам, графическое представление
План устранения
Приоритизированный перечень общих и частных рекомендаций, включая меры по построению процесса ИБ
Перепроверка
Обновлённые статусы находок после контрольной проверки исправлений

Почему заказывают у DeteAct

Состав проверок подбираем под бизнес и инфраструктуру заказчика. Шесть вещей неизменны в каждом проекте.

Платформа Scoper: покрытие в реальном времени

  • Экспертиза, подтверждённая публично

    Работы лично выполняют чемпионы мира по хакингу (CTF), призёры The Standoff и специалисты из топ-50 HackerOne — топ-1 в России по программам Bug Bounty.

  • Прозрачность процесса

    Вы всегда знаете, что проверено: регулярные статусы и покрытие работ в платформе Scoper.

  • Отчёт с рекомендациями, а не только списком проблем

    Для каждой находки — конкретное исправление и приоритет; разбор с вашей командой.

  • Международные стандарты

    Тестирование по OWASP, PTES и NIST; оформление результатов для аудиторов и регуляторов.

  • Поддержка после тестирования

    Помогаем устранить уязвимости и проводим повторное тестирование, чтобы подтвердить исправления.

  • Официальный статус

    Лицензия ФСТЭК России на ТЗКИ, аккредитация Минцифры, NDA до получения любых данных.

Стандарты и методологии

Используем как основу для состава проверок и структуры отчёта.
  • OWASP Testing Guide (WSTG)
  • OWASP Top 10 и OWASP API Security Top 10
  • OWASP MASVS / MASTG для мобильных приложений
  • OSSTMM (Open Source Security Testing Methodology Manual)
  • PTES (Penetration Testing Execution Standard)
  • NIST SP 800-115
  • MITRE ATT&CK и TIBER-EU для red teaming
  • CVSS 3.1 для оценки уровня риска
  • PCI DSS, 152-ФЗ, ГОСТ Р 57580 как требования заказчиков

Вопросы о пентесте

Какой вид пентеста выбрать: внешний, внутренний или приложений?
Если у компании есть публичные сервисы и API, начинают с внешнего периметра и веб-приложений: это то, что атакуют первым. Внутренний пентест и проверка Active Directory нужны, когда важно понять последствия компрометации одного сотрудника или рабочей станции. Для банков и платёжных сервисов добавляется тестирование платёжной логики. На первом звонке помогаем определить приоритет и, если нужно, разбиваем работы на этапы.
Сколько стоит тестирование на проникновение?
Стоимость фиксируется по результатам скоупинга и зависит от числа систем, приложений и ролей, размера адресного пространства, модели тестирования и требований к отчётности. Коммерческое предложение с составом работ, сроками и ценой готовим за один-два рабочих дня после получения описания объекта.
Сколько длится пентест?
Одно веб- или мобильное приложение — от двух до четырёх недель, внешняя или внутренняя инфраструктура — от двух до шести недель, платёжные системы — три-пять недель. Отчёт передаём в течение недели после завершения активной фазы.
По каким стандартам и методологиям вы работаете?
OWASP Testing Guide и OWASP Top 10 для веб-приложений, OWASP MASVS/MASTG для мобильных, PTES и NIST SP 800-115 для инфраструктуры, MITRE ATT&CK для red teaming, CVSS 3.1 для оценки уровня риска. Требования PCI DSS, 152-ФЗ и ГОСТ Р 57580 учитываем в объёме работ и структуре отчёта.
Безопасно ли проводить пентест на рабочих системах?
Да, при соблюдении правил, которые фиксируются в договоре: окна тестирования, запрет разрушающих проверок и отказа в обслуживании, контакты для экстренной связи, порядок уведомления о критических находках. Для продакшена исключаем действия с реальными платежами и персональными данными; при возможности тестируем на идентичном стенде.
Кто именно будет выполнять работы?
Штатные специалисты DeteAct: топ-1 в России по программам Bug Bounty, многократные призёры The Standoff, победители международных CTF, участники топ-50 HackerOne, обладатели сертификатов OSCP, OSWE, OSEP, BSCP, OSWP, CPTS и Pentest+ (более 20 штатных специалистов). Заказчик общается с исполнителями напрямую, без посредников и колл-центра.
Какие условия оплаты и гарантии?
Коммерческое предложение с составом работ, сроками и фиксированной стоимостью — за 1–2 рабочих дня. Оплата в течение 10 рабочих дней после подписания акта оказания услуг. Одна контрольная перепроверка исправленных уязвимостей выполняется в течение 10 рабочих дней после запроса заказчика; гарантийный срок — 12 месяцев после завершения основных этапов работ. Услуги оказываются удалённо; выезд нужен только для Wi-Fi, физических сценариев и части внутренних пентестов.
Как заказчик контролирует ход работ и полноту проверки?
Ход работ виден в платформе DeteAct Scoper: покрытие по эндпоинтам, ролям и хостам, активность специалистов и объём отправленных запросов. Регулярные статусы и уведомления о критических находках согласуем на старте.
Подходит ли отчёт для аудиторов и регуляторов?
Да. Отчёт содержит область и методику, модель нарушителя, перечень находок с CVSS и статусами, результаты перепроверки. Работы выполняет лицензиат ФСТЭК России (лицензия на ТЗКИ), что принимают аудиторы по ГОСТ Р 57580, PCI DSS и проверяющие по 152-ФЗ.

Заказать пентест

Опишите системы, которые нужно проверить, и цель: соответствие требованиям, проверка перед релизом или оценка реального риска. Предложим состав работ, сроки и фиксированную стоимость в течение одного-двух рабочих дней.

Почта
info@deteact.ru
Телефон
+7 499 444-12-46
Офис
Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
Лицензия
ФСТЭК России №Л024-00107-00/00581935
Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.