Как работим
Последователен подход към всеки ангажимент.
Всеки тест за проникване следва пет етапа, независимо от системите в обхвата. Така знаете как протича работата, какво ще получите и как ще проверим отстраняването на проблемите. Основата е ръчното тестване, подкрепено с доказателства и съобразено с приложимите стандарти.
Обхват и модел на заплахите
Преди началото договаряме писмено целите, системите в обхвата, правилата за тестване, разрешените периоди и контактите при спешност. Изготвяме модел на заплахите за вашата среда, за да съсредоточим работата върху реалния риск. Получавате оферта и конкретен график.
- Цели и критерии за успех
- Активи, среди и изключения
- Правила на ангажимента и граници на безопасност
- Лица за контакт и ред за ескалация
Разузнаване и картографиране
Проучваме действителната повърхност за атака: логиката на приложението, границите на доверие, потребителските роли, API и инфраструктурата. Автоматизираните инструменти ускоряват проучването, а тестерите преценяват кои пътища за атака заслужават проверка.
- Описване на повърхността за атака
- Проучване на ролите с тестови акаунти
- Профилиране на технологиите и зависимостите
- Разбиране на бизнес логиката
Ръчно използване на уязвимости
Това е основният етап на теста. Опитни тестери проверяват уязвимостите ръчно и ги свързват във вериги, за да докажат въздействието им. Записваме стъпките и доказателствата, така че резултатите да могат да бъдат възпроизведени. Работим в рамките на договорените ограничения за безопасност.
- Ръчно тестване спрямо OWASP / PTES
- Свързване на уязвимости във верига от няколко стъпки
- Безопасна демонстрация на уязвимостта, без разрушителни действия
- Критичните проблеми се сигнализират веднага щом бъдат потвърдени
Доклад и представяне на резултатите
Получавате резюме за ръководството и технически доклад за инженерите. Всяка констатация включва критичност, доказателства, стъпки за възпроизвеждане и конкретни насоки за отстраняване. Представяме резултатите на среща с вашия екип.
- Докладване за ръководството и техническите екипи
- Стъпки за възпроизвеждане и доказателства
- Конкретни насоки за отстраняване, подредени по риск
- Среща с екипа ви за представяне на резултатите
Повторен тест и проверка
Повторният тест е включен в услугата. След като отстраните проблемите, ги проверяваме отново и потвърждаваме писмено кои са отстранени. Така разполагате с доказателства за клиенти и одитори.
- Проверка на всяко отстраняване
- Писмо с резултатите от повторния тест
- Доказателства за ISO 27001 / SOC 2 / PCI / DORA
- Потвърждаване на отстраняването
Стандарти, с които се съобразяваме
Следваме признати методологии и свързваме констатациите с контролите, по които отчитате съответствие.
OWASP
WSTG, MASTG и API Security Top 10 за тестване на уеб, мобилни приложения и API.
PTES
Penetration Testing Execution Standard за общата структура на ангажимента.
OSSTMM
Методология с отворен достъп за тестване на сигурността на мрежи и инфраструктура.
MITRE ATT&CK
Класификация на техниките на нападателите при red team упражнения и проверки на откриването.
NIST SP 800-115
Техническо ръководство за тестване на информационната сигурност, което подпомага организацията на процеса.
CVSS / EPSS
Последователна оценка на критичността, подкрепена с обосновка за всяка констатация.
Инструментите ни ускоряват. Те не тестват вместо нас.
Използваме търговски инструменти, инструменти с отворен код и собствен софтуер, за да обхванем повече системи бързо и последователно. Тестерите анализират бизнес логиката, проверяват връзките между слабостите и разграничават реалния риск от погрешните сигнали. Тази преценка превръща резултатите от инструментите в доказани констатации.
Затова също създаваме и издаваме собствен софтуер, като Blackbar и Airward: същият инженерен подход, който прилагаме към вашата оценка.
- Ръчното тестване е водещоХората намират съществените дефекти; инструментите подпомагат широкото покритие.
- ВъзпроизводимоВсяка констатация идва със стъпките за възпроизвеждането ѝ.
- Безопасно по подразбиранеБез разрушителни техники без изрично разрешение.
- Съотнесено към стандартиСвързваме констатациите с контролите, които проверява вашият одитор.
Вижте пример от реален тест.
Искате да знаете какво бихте получили в действителност? Прочетете анонимизиран примерен отчет, разгледайте примери от практикатаили просто ни кажете какъв е обхватът ви.
Всеки ангажимент включва
- Изпълнява се от
- Старши инженери на PXLSec
- Получавате
- Резюме за ръководството, технически доклад и писмо с резултатите от повторния тест
- Повторен тест
- Включено в услугата
Нека определим обхвата на вашия ангажимент.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност