Which one do we need?

Usually Focused, if you are asking the question for the first time about a particular system. If you are not sure, our scoping tool walks through six questions and gives you a starting point, including the cases where the honest answer is that a penetration test is not what you need.

Is a cheaper engagement a less thorough one?

No, and that is deliberate. These are not quality tiers. Senior testers, evidence for every finding, a retest and written closure apply to all four, because we have published those as commitments and they are not things we are willing to vary. What changes between them is the question being answered and the ground being covered, not how carefully the work is done.

Yes. We do not take engagements below five days of testing, excluding reporting. It is not a commercial preference — below roughly that, a manual test cannot cover enough ground to tell you anything you could not get from a scanner, and we would rather say so than take the work. If your scope is genuinely smaller than that, a vulnerability assessment may be the honest answer, and we will say so.

Why are there no prices here?

Because an indicative figure that ignores your scope would be misleading, and we would rather say nothing than publish a number we would have to walk back. What genuinely moves the cost is listed under each shape above. Send us those answers and you will get a real figure rather than a range.

Can an engagement move between these?

Often. A Focused engagement that keeps reaching systems nobody mentioned is telling you the scope was wrong, and we will say so rather than quietly test past the boundary or ignore it. Scope changes are agreed in writing first — that is in our rules of engagement.

Do you work to our framework rather than yours?

Yes. Where a regulation or standard sets the shape of the test — DORA, NIS2, PCI DSS, ISO 27001, SOC 2 — we scope against the clause that applies and write the report so it can be handed to your assessor as it is.

Ангажименти

Четири подхода според целта на тестването.

Предлагаме четири подхода според целта на тестването. При всеки от тях работят опитни тестери, всяка констатация е подкрепена с доказателства и отстраняването се проверява с повторен тест. Разликата е във въпроса, на който трябва да отговорим, и в системите, които трябва да обхванем.

КъмФокусиран Среда Симулация на противник Непрекъснат

Фокусиран

Какво всъщност не е в ред с тази система?

Една система, тествана както трябва. Най-честата форма на ангажимент и за повечето екипи правилното начало.

Типични случаи

Уеб приложение и API-то зад него
Мобилно приложение — клиентска и сървърна част
Един външен периметър
Един облачен акаунт или среда
Система със съществени промени, чиято сигурност трябва да се провери отново

Какво определя обхвата

Колко потребителски роли има и между кои от тях достъпът трябва да е ограничен
Дали API-то се ползва съвместно с мобилно приложение, партньор или публичен клиент
Дали съществуват клиентски организации и колко строго трябва да са разделени
Дали тестваме с удостоверяване, без удостоверяване, или и двете
Дали средата съдържа достатъчно данни, за да бъде една констатация доказуема

Минималната продължителност е пет дни тестване, без времето за изготвяне на доклада. При определянето на обхвата проверяваме дали този формат е подходящ за вашата система.

Услуги, които обикновено попадат тук

Тестване за проникване Сигурност на мобилни приложения Тестване за проникване в AI / LLM Тестване за проникване в облачна среда Тестове за проникване за одитни и регулаторни изисквания

Среда

Как може нападател да свърже слабостите в нашата среда?

Тестваме няколко системи и връзките между тях. Съществените констатации често са вериги от слабости: малък проблем в една система позволява атака с по-сериозно въздействие в друга.

Типични случаи

Приложение, инфраструктурата, върху която работи, и свързаният облачен акаунт
Вътрешна мрежа и домейнът в Active Directory, който я управлява
Публично достъпни системи и вътрешната инфраструктура зад тях
Среда, разширена чрез придобивания или миграции, с неясна повърхност за атака

Какво определя обхвата

Колко приложения, API-та и крайни точки са в обхвата
Колко външни хоста и вътрешни подмрежи има и колко активни системи съдържат
Колко облачни акаунта съдържат продукционни работни натоварвания
Дали Active Directory е в обхвата и колко домейна
Дали работим от допуснато вече проникване или започваме от периметъра

Услуги, които обикновено попадат тук

Тестване за проникване Active Directory и вътрешна мрежа Тестване за проникване в облачна среда Оценка на уязвимостите

Симулация на противник

Може ли някой да стигне до най-важното — и бихме ли забелязали?

Започваме с конкретна цел на нападателя. В рамките на договорения обхват проверяваме дали може да я постигне и дали защитният екип ще открие действията му и ще реагира.

Типични случаи

Red teaming срещу договорена цел
Тестване, водено от заплахи, по DORA, където регулаторът определя формата
Purple teaming в открито сътрудничество с вашия защитен екип
Социално инженерство, където хората и процесът са в обхвата

Какво определя обхвата

Каква е всъщност целта, заявена достатъчно ясно, за да бъде доказана или отхвърлена
Дали откриването и реакцията са в обхвата, или само дали целта е достижима
Кой от ваша страна знае, че тестът се провежда
Кои техники са изключени и кой може да разреши онези, които не са
Дали регулаторна рамка управлява упражнението

Преди red team упражнение е добре да имате базова оценка на сигурността. То проверява дали откривате нападател и реагирате на действията му, но не осигурява подробен преглед на цялата среда. При определянето на обхвата ще обсъдим дали организацията ви е готова за този подход.

Услуги, които обикновено попадат тук

Red Teaming Тестване за проникване, водено от заплахи Purple Teaming Социално инженерство и фишинг

Непрекъснат

Запазена ли е сигурността след последните промени?

Тестваме по договорен график и след съществени промени. Подходът е за екипи, чиито системи се развиват твърде бързо, за да разчитат само на годишен тест.

Типични случаи

Продукти с чести нови версии, за които миналогодишният обхват вече не е актуален
Среди в активна миграция или растеж
Екипи, които искат да работят със същите тестери, без да обясняват системата отначало при всеки тест
Организации с постоянно изискване за повторно тестване след съществена промяна

Какво определя обхвата

Колко често системата се променя по начини, които засягат нейния модел на сигурност
Кои части трябва да се проверяват при всяка промяна и кои — периодично
Дали ви е нужен достъп до същите тестери между ангажиментите
Какво налага нов тест: нова версия, промяна в архитектурата или договорен график

Услуги, които обикновено попадат тук

Тестване за проникване Тестване за проникване в облачна среда Purple Teaming Сигурна разработка

При всеки подход

Какво включва всеки ангажимент

Старши тестери, без предаване на по-младшиТестерите, които определят обхвата, изпълняват и работата. Всеки подход включва опитни специалисти.
Изпълнение от нашия екипАнгажиментът се изпълнява от екипа на PXLSec. Не възлагаме работата на външни изпълнители или партньори.
Всяка констатация с доказателствоВсяка констатация включва критичност, доказателства, стъпки за възпроизвеждане, бизнес въздействие и конкретни насоки за отстраняване. Инженерите получават достатъчно подробности за работа, а ръководството — ясно обяснение на риска.
Повторен тест и приключване в писмен видПроверяваме повторно отстранените проблеми и потвърждаваме писмено резултатите. Ако не можем да проверим дадена корекция, отбелязваме я като непроверена.
Правилата на ангажимента се договарят първоПреди началото записваме обхвата, периода за тестване, условията за спиране и реда за ескалация. Нашите правила са публикувани в пълния си вид.

Не сте сигурни кой подход да изберете?

Нашият инструмент за определяне на обхвата задава шест въпроса и предлага отправна точка — включително случаите, в които честният отговор е, че изобщо не ви трябва тест за проникване. Ако предпочитате просто да опишете системата, кажете ни какво имате и опитен тестер ще се свърже с вас, за да уточни нуждите ви.

Често задавани въпроси

Въпроси за избора на подход

Кой подход ни е нужен?

Обикновено фокусираният тест е подходящото начало за система, която не е тествана досега. Ако се колебаете, инструментът ни за определяне на обхват задава шест въпроса и предлага отправна точка. Той посочва и случаите, в които друга услуга е по-подходяща.

По-евтиният ангажимент по-малко задълбочен ли е?

Не. Всеки от четирите подхода включва опитни тестери, доказателства за констатациите, повторен тест и писмено потвърждение на резултатите. Цената се различава според целта, обхвата и необходимото време, а не според качеството на работата.

Има ли минимум?

Да. Минималната продължителност е пет дни тестване, без времето за изготвяне на доклада. Това ни позволява да планираме достатъчно задълбочена ръчна проверка. Ако обхватът ви е по-малък, ще обсъдим дали оценка на уязвимостите е по-подходяща.

Защо тук няма цени?

Цената зависи от конкретния обхват. Под всеки подход са посочени факторите, които я определят. Изпратете ни тази информация и ще подготвим конкретна оферта.

Може ли подходът да се промени по време на ангажимента?

Да. Ако фокусираният тест разкрие зависимости към системи извън обхвата, обсъждаме дали е необходимо разширяване. Всяка промяна се договаря писмено, преди да започнем допълнителното тестване, както предвиждат правилата ни.

Работите ли по нашата рамка, вместо по вашата?

Да. Когато приложим регламент или стандарт поставя изисквания към тестването — например DORA, NIS2, PCI DSS, ISO 27001 или SOC 2 — съобразяваме обхвата с тях. Подготвяме доклада така, че да можете да го предоставите на вашия одитор или оценител.

Кажете ни какво искате да бъде тествано.

Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.

Заявете оферта [email protected]

Поверителност от първия разговор

Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.

Как защитаваме информацията ви · Политика за поверителност