Изисква ли SOC 2 тест за проникване?
Какво означава SOC 2 за тестовете, как се различават доказателствата за Type 1 и Type 2 и какво да уточните с одитора за вашата система.
Блог
Бележки от практиката.
Технически материали от нашите тестери — методология на офанзивната сигурност, написана така, че да е полезна на защитниците от другата ѝ страна.
Как да изберете доставчик на тестове за проникване
Как да сравните доставчици на тестове за проникване: екип, ръчна работа, обхват, доказателства, качество на доклада и условия за повторен тест.
Почти никога не ни е нужен експлойт
Как достъпни тайни, прекомерни права и неправилни връзки на доверие водят до сериозни пробиви без сложен експлойт. Наблюдения от реални тестове.
Какво всъщност обхваща един тест за проникване в AI
Определете обхвата на AI оценка: администрация, извличане на данни, действия на агенти и prompt injection, с ясни права, доказателства и безопасни граници.
Сканиране за уязвимости или тест за проникване
Какво установява сканирането за уязвимости и какво доказва ръчният тест за проникване. Разлики в покритието, доказателствата и подходящото приложение.
Инжектирането на промпти не е първият ви AI риск — административният слой е
AI администрацията, credentials и достъпът до артефакти изискват проверка наред с prompt injection. Как да отделите доказания достъп от възможното въздействие.
Тест за проникване или red team
Разликата между тест за проникване и red team операция: систематично покритие на слабостите или оценка на откриването и реакцията срещу реалистична атака.
Колко време отнема един тест за проникване?
Как обхватът, сложността и подготовката определят срока на теста за проникване. Планиране на достъпа, отстраняването и повторната проверка.
Какво определя цената на един тест за проникване
Факторите, които определят цената на теста за проникване: обхват, сложност, роли и необходима ръчна работа. Как да сравните предложенията.
Изолация между клиентски организации: когато достъпът зависи от HTTP хедър
Потвърдено четене на чужди данни, непотвърден опит за запис и практически насоки за тестване на изолацията, без прибързани изводи от HTTP статусите.
Red team или purple team
Кога да изберете red team и кога purple team. Разлики между оценката на откриването и реакцията и съвместното подобряване на защитните механизми.
Защитни механизми, които присъстват, но не работят
Защо конфигурирани контроли може да не работят и как да оцените браузърни хедъри, CORS, CSRF и login обвързване без преувеличено въздействие.
Тестването на сегментацията по PCI DSS, обяснено
Какво доказва тестът на сегментацията по PCI DSS, как се проверява изолацията на средата с картови данни и кои изисквания определят честотата.
PTaaS или ръчно тестване за проникване
PTaaS е модел на предоставяне, а ръчното тестване е метод. Сравнете човешкото време, покритието, доказателствата и повторните тестове.
Повторна оценка: какво остана от миналогодишните уязвимости
Какво установи повторната проверка на миналогодишни констатации: непоправени и повторно появили се уязвимости. Защо отстраняването трябва да се потвърждава.
Вътрешно или външно тестване за проникване
Какви рискове проверяват вътрешният и външният тест за проникване. Публичен периметър, компрометирани акаунти и пътища към чувствителни системи.
Въпроси, които да зададете, преди да подпишете задание за тест за проникване
Какво да уточните в заданието за тест за проникване: обхват, разрешения, правила, условия за спиране, обработка на данни и повторен тест.
DORA TLPT или стандартен тест за проникване
Разлики между програмата за тестване по DORA и TLPT за определени финансови субекти. Обхват, организация и подготовка за приложимите изисквания.
Тревожни сигнали в едно предложение за тест за проникване
Как да оцените предложение за тест за проникване и да уточните неяснотите за обхвата, екипа, времето, доказателствата и повторната проверка.
Проверка на CVE: когато версията в банера подвежда
Как да проверявате CVE предположения по версия, да различавате доказани предпоставки от отрицателни проби и да описвате границите на извода.
Контролният списък на купувача на тест за проникване
Контролен списък за възлагане на тест за проникване: избор на обхват, сравнение на доставчици, договорни условия и подготовка за началото.
Как да четете доклад от тест за проникване
Как да разчетете обхвата, критичността, доказателствата и въздействието в доклад от тест за проникване и да определите приоритетите за отстраняване.
IDOR: най-простият дефект, който и през 2026 г. превзема API
Как липсваща проверка на правата за конкретен обект позволява достъп до чужди данни чрез API. Разпознаване, тестване и предотвратяване на IDOR.
Какво откриваме в действителност: повтарящи се модели от нашите ангажименти
Повтарящи се първопричини за сериозни уязвимости в приложения, API, облачни и вътрешни среди. Наблюдения от анонимизирана клиентска работа.
Дефекти в бизнес логиката: защо е нужна ръчна проверка
Как валидни действия могат да се комбинират в злоупотреба с плащания, одобрения или работни процеси. Ръчна проверка на бизнес логиката.
Сигурност на GraphQL: изключената интроспекция не означава скрита схема
Защо изключването на GraphQL интроспекцията не е достатъчна защита. Изтичане на схема, сложни заявки, изчерпване на ресурси и подходящи ограничения.
Purple teaming: превръщане на констатациите от red team в правила за откриване
Как purple teaming превръща пропуснатите техники от red team операция в проверени правила за откриване чрез съвместна работа със защитния екип.
DORA и NIS2: какво ЕС вече очаква да тествате
Практическо въведение в тестването на сигурността по DORA и NIS2: приложими изисквания, обхват, планиране и доказателства за проверките.
NTLM relay все още работи в съвременна среда с AD
Предпоставки за NTLM relay, ограничения между протоколи, принудително удостоверяване и защити за SMB, LDAP и AD CS.
Сигурност още от началото на разработката: моделиране на заплахите, което инженерите наистина използват
Как да свържете моделирането на заплахите с архитектурата, контролите и автоматизираните тестове, за да откривате дефекти още при разработката.
SSRF и облачните метаданни: опасна комбинация
Как SSRF може да достигне облачни метаданни, какво защитават IMDSv2 и ограничението за мрежовите хопове на отговора и какво доказват blind SSRF сигналите.
Тайни в кода: изтичането с дълготрайни последствия
Как да откривате разкрити тайни, да отнемете достъпа им и да прецените почистването на хранилището, с ограниченията на ентропийните правила и краткотрайните credentials.
OWASP API Security Top 10 на практика
Най-често срещани категории от OWASP API Security Top 10 при реални тестове. Права за достъп, бизнес логика, ресурси и конкретни мерки за защита.
От нула до Domain Admin: разчитане на пътищата за атака в Active Directory с BloodHound
Как BloodHound разкрива връзките между права, групи и сесии в Active Directory. Проверка на пътищата до Domain Admin и мерки за прекъсването им.
Kerberoasting, обяснено за защитници
Как Kerberoasting използва служебни билети за офлайн отгатване на пароли, кои действия подлежат на одит и как управляваните служебни акаунти намаляват риска.
Ако една констатация не е възпроизводима, тя не е завършена
Какви доказателства и стъпки са нужни за възпроизвеждане на констатация от тест за проникване. Проверка на качеството и полезността на доклада.
Password spraying все още работи: защита на входната врата
Как password spraying може да избегне някои прагове, как да го откривате без записване на пароли и как да защитите потребители и служебни идентичности.
Как прекомерните права в базата данни разширяват пробива
Как приложните credentials разширяват компрометирането и какви са границите на минималните права, изолацията между организации и KMS шифроването.
Мобилното приложение като хранилище на тайни: какво разкрива пакетът
Вградени credentials, локално шифроване и runtime контроли: какво проверява мобилният тест и как се различават Keychain, Secure Enclave и Keystore.
Сканирането за уязвимости не е тест за проникване
Как да различите автоматизирано сканиране от ръчен тест за проникване. Покритие на бизнес логиката, правата за достъп и доказателства за въздействие.