Выберите направление проверки защищённости

Состав работ зависит от проверяемых активов, предполагаемого сценария атаки и требований к результату. Для отдельных задач предусмотрены специализированные направления.

Пентест по методике ФСТЭК

Проверка защищённости с учётом методики оценки ФСТЭК России и установленных требований к проведению работ.

Пентест сайта и веб-приложений

Поиск уязвимостей сайтов, личных кабинетов, веб-сервисов, API и ошибок бизнес-логики.

Пентест мобильных приложений

Проверка приложений для iOS и Android, серверной части, API, локального хранения и каналов связи.

Аудит информационной безопасности

Оценка организационных и технических мер защиты, процессов ИБ и соответствия установленным требованиям.

Аудит ИТ-инфраструктуры

Анализ архитектуры, конфигураций, доступов, отказоустойчивости и управляемости ИТ-инфраструктуры.

Киберучения

Практическая проверка готовности команд обнаруживать, локализовывать и разбирать кибератаки.

Кибератаки реальны

24 часа / 300 млн руб.
Среднее время шифрования инфраструктуры / средняя сумма выкупа.
70% кибератак
В 2025–2026 годах нацелены на уничтожение или парализацию ИТ-инфраструктуры.
Атака через поставщика
Этот вектор использовался более чем в 30% всех APT-атак в 2025 году.
От 800 тыс. до 21 млн руб.
Может составлять стоимость одного часа простоя вследствие кибератаки.

Тестирование на проникновение как профилактика кибератак

Тестирование на проникновение, или пентест, — это подконтрольная имитация действий реального злоумышленника в ИТ-инфраструктуре заказчика. Работы позволяют выявить возможные пути проникновения, оценить вероятность эксплуатации обнаруженных уязвимостей и определить их критичность.

Специалисты по тестированию на проникновение ищут уязвимости и проверяют возможность их безопасной эксплуатации в согласованных границах. Так можно определить, способен ли нарушитель получить доступ к инфраструктуре, перехватить управление веб- и мобильными приложениями или скомпрометировать другие ИТ-активы.

Какой пентест нужен именно вам

Вид тестирования зависит от предполагаемого сценария атаки, состава ИТ-активов и задач организации. Если подходящий формат заранее не определён, область и глубина проверки уточняются на этапе планирования.

Направление Что проверяем
Внешний пентест Моделируем атаку снаружи и определяем, можно ли проникнуть во внутреннюю сеть через доступные из интернета узлы и сервисы.
Внутренний пентест Оцениваем защищённость от атак из корпоративной сети: со стороны сотрудника, подрядчика или скомпрометированного устройства.
Пентест веб-приложений Проверяем сайты, личные кабинеты и порталы на инъекции, XSS, CSRF, RCE, ошибки бизнес-логики и другие уязвимости.
Пентест мобильных приложений Проверяем приложения для iOS и Android: клиентскую часть, локальные хранилища, API, backend-интеграции и каналы связи.
Анализ защищённости Выявляем уязвимости и недостатки конфигурации в исследуемых системах.
Социальная инженерия Оцениваем устойчивость сотрудников к фишинговым рассылкам, поддельным звонкам и другим согласованным сценариям воздействия.
Пентест беспроводных сетей Анализируем корпоративные Wi-Fi-сети, точки доступа, протоколы аутентификации и шифрования.
Пентест конечных точек Проверяем рабочие станции и серверы на возможность эксплуатации уязвимостей операционных систем и прикладного ПО.
Пентест облачной инфраструктуры Проверяем облачные среды на ошибки IAM, открытые хранилища и небезопасные сетевые настройки.
Red Team / Purple Team Моделируем многоэтапную целевую атаку и проверяем способность команды защиты выявить и остановить её.
Повышение киберустойчивости Определяем сценарии недопустимых событий и меры для сокращения простоя и возможных потерь при атаке.
Пентест API Проверяем REST-, GraphQL- и SOAP-интерфейсы на ошибки аутентификации, авторизации, инъекции и утечки данных.
Сертифицированные эксперты помогут подобрать решение.

Методология и подход

  • Упор на ручной анализ, а не только на данные сканирования. Автоматические сканеры используются на первом этапе. Более 70% работ занимает ручной анализ, поиск логических уязвимостей и нестандартных векторов атак, которые невозможно выявить автоматическим сканированием.
  • Многовекторный анализ. Каждый объект рассматривается на нескольких уровнях: сеть, приложение, API и человеческий фактор.
  • Следование международным стандартам. При проведении работ учитываются NIST SP 800-115, OWASP Web Security Testing Guide, PTES и OSSTMM.
  • Практические отчёты. Заказчик получает не перечень CVE, а приоритизированный план устранения уязвимостей с описанием последствий для бизнеса, скриншотами, видео и PoC-кодом.

Компетенции и опыт команды

Лицензии ФСТЭК России и ФСБ России

  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации.
  • Лицензия ФСБ России на работы со средствами криптографической защиты.
  • Возможность работы с объектами КИИ и сведениями, составляющими государственную тайну, при наличии необходимых допусков в рамках проекта.

Сертифицированные специалисты по тестированию на проникновение

  • OSCP — практические навыки проведения тестирования на проникновение.
  • OSEP, OSWE, OSWA, OSWP и CEH — компетенции в области тестирования инфраструктуры, веб-приложений и беспроводных сетей.
  • CISSP и CISM — управление информационной безопасностью и проектами в сфере ИБ.
  • Опыт участия и побед в международных CTF-соревнованиях.

Опыт выполнения проектов

  • Более 20 лет на рынке ИБ- и ИТ-услуг.
  • Более 200 проведённых пентестов.
  • Более 30 клиентов из рейтинга РБК 500.

Этапы работ и результаты

  1. Планирование и согласование

    Определение границ тестирования, целей, правил проведения работ, точек контакта и исключаемых систем.

    Результат

    Согласованный план и правила проведения тестирования.

  2. Сбор информации

    Пассивный и активный сбор данных о доменах, IP-адресах, открытых портах, сервисах, структуре приложений и сотрудниках.

    Результат

    Профиль поверхности атаки.

  3. Поиск и анализ уязвимостей

    Автоматизированный и ручной анализ для выявления известных и потенциальных уязвимостей.

    Результат

    Предварительный перечень уязвимостей с классификацией по критичности.

  4. Эксплуатация уязвимостей

    Проверка возможности практической эксплуатации обнаруженных недостатков и получения доступа к системам и данным.

    Результат

    Доказательства реализуемости выявленных сценариев атак.

  5. Постэксплуатационный анализ

    Определение доступных после компрометации систем и данных, а также возможности дальнейшего перемещения по инфраструктуре.

    Результат

    Оценка технических последствий и возможного ущерба для бизнеса.

  6. Подготовка отчёта и презентация результатов

    Описание уязвимостей, уровней критичности, сценариев воспроизведения, доказательств эксплуатации и рекомендаций по устранению.

    Результат

    Приоритизированный план повышения защищённости и киберустойчивости.

Уже есть техническое задание? Давайте обсудим детали.