Veiltrack: факти для перевірки підрядника з пентесту

Veiltrack: українська компанія з кібербезпеки з Києва, яку веде засновник Влад Краєвський. Ми проводимо пентести, оцінку вразливостей і фішинг-симуляції; на цій сторінці зібрано короткі й чесні відповіді на питання, які замовник ставить підряднику перед договором, включно з тим, чого в нас ще немає.

Сторінку можна використати разом з нашим опитувальником для перевірки підрядника з пентесту: там питання, тут наші відповіді на основні з них. Формат роботи описано на сторінці пентест.

Коротко

Компанія і команда

Юридично. Договір укладає ФОП Краєвський Владислав Юрійович (Україна). Ми не платники ПДВ. Окремої компанії (ТОВ чи компанії в ЄС) ще немає; коли вона з’явиться, оновимо цю сторінку.

Досвід. Засновник працює в безпеці з 2019 року. Команда працювала з безпекою багатьох українських банків, а також державних установ і правоохоронних органів. Засновник також проводив навчання з пентесту для українського університету.

Хто реально тестує. Засновник веде кожен проєкт і відповідає за результат. Залежно від навантаження і типу перевірки тестує він сам або команда інженерів: це перевірені підрядники, з якими ми працюємо не перший рік. Усього в проєкті до 5 осіб. Кожен учасник працює під NDA. Сертифікати засновника і команди перелічено на сторінці про нас.

Чи продаємо щось, крім тестування. Так, і кажемо про це відкрито: через партнерів допомагаємо з GRC (політики, відповідність вимогам), захисними рішеннями та Blue Team. Основний фокус Veiltrack: наступальна перевірка безпеки. Рекомендації у звіті не зобов’язують купувати щось у нас.

Методика

Працюємо за поширеними стандартами: OWASP Web Security Testing Guide для вебзастосунків і API, OWASP MASTG для мобільних застосунків, PTES як загальна послідовність пентесту, NIST SP 800-115 для планування і звітності, OSSTMM для операційної безпеки. ^{[1] [2] [3] [4] [5]}

Скільки ручної роботи. Залежить від послуги, і ми називаємо це прямо:

• Сканування вразливостей. Переважно автоматичні інструменти (наприклад, Nessus, Acunetix), але результат переглядає фахівець і прибирає очевидний шум.
• Оцінка вразливостей. Сканування плюс ручна перевірка кожної знахідки: чи вона справжня і наскільки небезпечна саме для вас.
• Пентест. Основа роботи ручна: фахівець діє як зловмисник, перевіряє логіку, ролі, обхід авторизації і ланцюжки вразливостей. Автоматизація лише допомагає покрити велику площу, рішення приймає людина.

Етапи пентесту. Погодження меж і правил, збір відкритої інформації (OSINT), визначення доступних сервісів, пошук вразливостей, ручна перевірка, перевірка можливості використання вразливостей з дозволу замовника, звіт і розбір.

Інструменти. Burp Suite Professional, Nmap, Nessus, Acunetix, Metasploit, sqlmap, Kali Linux, а також власні та відкриті скрипти. Інструмент не замінює фахівця: кожна знахідка у звіті перевірена людиною.

Робоча система чи тестова копія. Можемо тестувати і те, і інше. На робочій системі обмежуємо навантаження і не запускаємо небезпечні перевірки без окремого дозволу замовника.

Дані клієнта

• NDA підписуємо завжди, до початку робіт.
• Зберігання. Матеріали проєкту (докази, нотатки, звіт) зберігаємо зашифрованими локально та в хмарному робочому просторі Google.
• Видалення. Після завершення робіт матеріали видаляємо.
• AI-інструменти. У роботі використовуємо AI-асистенти (Claude, ChatGPT, Gemini та інші) для аналізу і підготовки матеріалів. Якщо ви не хочете, щоб ваші дані потрапляли в AI-сервіси, працюємо без них: це фіксуємо до старту.
• Передача звіту. Звіт передаємо в зашифрованому архіві, пароль окремим каналом.

Звіт

Звіт містить:

• коротке резюме для керівництва: що знайшли і чим це загрожує бізнесу;
• таблиці й діаграми знахідок за рівнем ризику, з кольоровим позначенням;
• для кожної знахідки: категорію, CWE, оцінку CVSS, технічний опис, докази і знімки екрана ^{[6] [7]};
• порядок виправлень і посилання на матеріали, які допоможуть розробникам закрити проблему.

Після здачі проводимо фінальну зустріч і розбір звіту. Обезличений приклад звіту показуємо потенційному замовнику особисто; публічно його не викладаємо.

Процес і безпека робіт

• Дозвіл і межі. Межі, дозволені дії і контакти прописані в договорі; до підписання обговорюємо їх із замовником і додаємо його умови.
• Зв’язок. Під час тестування засновник завжди на зв’язку: створюємо канал у зручному месенджері й листування поштою.
• Критичні знахідки повідомляємо одразу, захищеним каналом, з деталями в зашифрованому архіві, не чекаючи фінального звіту.
• Сліди справжнього зламу. Якщо під час робіт бачимо ознаки реальної атаки, повідомляємо замовнику якомога швидше, не пізніше ніж за 24 години.
• Зупинка на вимогу. Замовник може зупинити тестування в будь-який момент: достатньо написати нам.

Чого ми не робимо без окремої угоди: DoS і DDoS-тести, фізичне проникнення в приміщення.

Ціни, строки, договір

• Ціна. Пентест зазвичай від $1 000. Сканування вразливостей може коштувати менше, від кількох сотень доларів, залежно від обсягу. Точну суму називаємо після короткого дзвінка, коли зрозумілі межі. Детальніше в статті скільки коштує пентест.
• Оплата. 50% передоплата і 50% після здачі звіту. Для українських клієнтів у гривні; для клієнтів з-за кордону в доларах або євро.
• Строки. Від першого дзвінка до старту зазвичай від одного до кількох днів; тривалість самої роботи залежить від обсягу.
• Відповідальність. Пентест показує стан безпеки на момент перевірки, у погоджених межах і часі; він не гарантує, що інших вразливостей немає. Конкретні умови відповідальності фіксуємо в договорі.
• Страхування професійної відповідальності на сьогодні не маємо. Сертифікації компанії (ISO 27001) теж не маємо: плануємо повернутися до цього після реєстрації компанії.

Приклади з досвіду засновника

Назви клієнтів не розкриваємо.

• Криптообмінник. Знайшли критичну вразливість, через яку користувач міг сам змінити курс обміну, обміняти кошти за вигідним курсом і вивести їх з біржі. Тобто збитки рахувалися б не днями, а секундами.
• Фішинг-симуляція у великому українському банку. Понад 60% співробітників перейшли за посиланням з тестового листа, приблизно кожен третій ввів логін і пароль, часто кілька разів поспіль. Для зламу вистачило б однієї пари логін і пароль.

FAQ

Хто підписує договір з боку Veiltrack?

ФОП Краєвський Владислав Юрійович, Україна. Ми не платники ПДВ. Договір і NDA можемо укласти українською або англійською.

Хто фізично проводить тестування?

Засновник або команда перевірених інженерів під його керівництвом, усі під NDA. Засновник веде кожен проєкт і відповідає за результат.

Чи входить ретест у вартість?

Залежить від пакета. В одних пакетах ретест входить, в інших його замовляють окремо. Це видно в комерційній пропозиції до підписання договору.

Чи використовуєте ви AI з даними клієнта?

Так, AI-асистенти допомагають в аналізі і підготовці звіту. Якщо ви проти, працюємо без них, і це фіксуємо до старту.

Чи є у вас страхування і ISO 27001?

Ні, станом на жовтень 2026 року. Ми працюємо як ФОП і чесно це вказуємо; до сертифікації повернемося після реєстрації компанії.

Посилання

1. OWASP Web Security Testing Guide owasp.org
2. OWASP Mobile Application Security Testing Guide (MASTG) mas.owasp.org
3. Penetration Testing Execution Standard (PTES) pentest-standard.org
4. NIST SP 800-115: Technical Guide to Information Security Testing and Assessment csrc.nist.gov
5. ISECOM: OSSTMM 3 isecom.org
6. MITRE: Common Weakness Enumeration cwe.mitre.org
7. FIRST: Common Vulnerability Scoring System first.org