Що бачить атакуючий, коли дивиться на вашу компанію ззовні?
Показуємо, що з вашої компанії видно з інтернету і де копати глибше.
Три питання, на які review дає відповідь
Мета одна: зрозуміти, чи є у вас що закривати, ще до будь-яких активних перевірок.
Що з нашого видно з інтернету?
Домени, сервіси, панелі, забуті піддомени. Часто в переліку є те, про що всередині вже ніхто не пам'ятає.
Куди варто подивитися глибше?
Не «все погано», а конкретні місця, які виглядають як найімовірніша точка входу.
Що варто перевірити далі?
Покажемо, де потрібна глибша технічна перевірка, а де краще почати з пошти, доступів чи людей.
Що саме дивимось
Ми дивимось на вас з тієї ж позиції, що й зловмисник: ззовні.
- Публічні домени і піддомени, включно із забутими
- Сервіси, доступні з інтернету
- Інтерфейси й панелі, які не мали бути публічними
- Технології, які видно ззовні, та їх версії
- Сигнали проблемних конфігурацій
- Загальна зовнішня поверхня атаки — як вона виглядає збоку
Спочатку тільки пасивно
Нічого не тестуємо без вашого дозволу
На першому етапі використовуємо лише публічно доступні та пасивні джерела — те, що будь-хто може побачити з інтернету, не звертаючись до ваших систем.
Якщо для перевірки потрібні активні запити до вашої інфраструктури, спочатку погоджуємо межі перевірки і отримуємо письмовий дозвіл. До цього моменту активних перевірок немає.
Що показує зовнішній огляд, а що ні
Огляд показує, що про компанію видно з інтернету і де варто дивитись глибше. Він не доводить, що вразливостей немає.
Що review дає
- Показує зовнішню поверхню: що доступно з інтернету
- Підсвічує місця, які варто перевірити глибше
- Допомагає зрозуміти, чи потрібен пентест і в якому обсязі
- Займає мало часу і майже не вимагає участі вашої команди
Чого review не дає
- Не підтверджує, що компанія в безпеці
- Не перевіряє бізнес-логіку і права доступу в продукті
- Не замінює ручний пентест
- Не дає повного списку вразливостей
Коли почати саме з цього
Давно не перевірялися
Або не перевірялися взагалі — і немає уявлення, з чого починати.
Немає окремої команди з безпеки
Питаннями безпеки займається той, у кого є час. Тобто ніхто.
Новий сайт, API або продукт
Запустили швидко, безпеку відкладали «на потім».
Швидке зростання
Сервісів, доменів і інтеграцій стало більше, ніж хтось відслідковує.
Вихід на новий ринок
Або на enterprise-клієнтів, які починають ставити питання про безпеку.
Незрозуміло, що замовляти
Пентест, аудит, assessment — потрібно спершу зрозуміти, що взагалі потрібно.
Як це проходить
Чотири кроки від першого повідомлення до розбору результатів.
Заявка
Ви залишаєте домен і коротко описуєте ситуацію: що є, що турбує.
Короткий дзвінок
30 хвилин. Розуміємо, що у вас за продукт і що взагалі має сенс дивитися.
Межі перевірки та дозвіл
Фіксуємо, що входить у перевірку. Якщо потрібні активні запити — оформлюємо письмовий дозвіл.
Review і розбір
Проводимо перевірку і проходимо результати разом: що видно ззовні, що варто закрити, чи потрібен глибший тест.
Обмежена кількість компаній щомісяця
Первинний зовнішній review ми проводимо без окремої оплати для обмеженої кількості компаній щомісяця — після короткого дзвінка та погодження меж перевірки.
Це не «безкоштовний пентест» і не заміна йому. Це перший крок, який допомагає обом сторонам зрозуміти, чи є сенс працювати далі.
Засновник веде кожен проєкт і відповідає за результат
Я веду зовнішню перевірку і відповідаю за висновки. Ви говорите з людиною, яка знає вашу ситуацію, а не читає чужий звіт.
Керую командою з кібербезпеки. З 2019 року провів понад 170 пентестів для понад 80 компаній. Працював із безпекою багатьох українських банків і платіжних систем, а також держустанов і правоохоронних органів. Проєкт веде засновник, роботу назовні не передаємо.
Перевіряю системи так само, як це робить реальний зловмисник — зовні, без підказок, без доступу зсередини.
Часті запитання
Інші напрями безпеки Veiltrack
Коли йти глибше
External review показує поверхню. Потрібна технічна перевірка? Далі два шляхи.
Vulnerability Assessment
Активне сканування погодженого зовнішнього периметру на відомі вразливості та небезпечні конфігурації, з ручним аналізом результатів.
Пентест
Ручна перевірка застосунку та API: автентифікація, права доступу, бізнес-логіка й зв'язані сценарії атаки.
Забронюйте 30-хвилинний розбір
Залиште домен — на короткому дзвінку розберемо ситуацію і погодимо, що саме дивимось.