Кілька напрямів безпеки, один звіт із пріоритетами
Зовнішня поверхня, вебзастосунки, людський фактор і доступи в одних межах перевірки. На виході один звіт із пріоритетами замість трьох різних.
Коли окремі перевірки перестають складатися в картину
Замовити пентест, окремо сканування й окремо перевірку доступів можна. Проблема в тому, що на виході три звіти, три пріоритезації і жодного спільного висновку про рівень ризику компанії.
Одна погоджена межа
Замість кількох окремих домовленостей — один документ, у якому зафіксовано все, що перевіряємо.
Ризики порівняні між собою
Проблема в застосунку та слабке місце в доступах опиняються в одному списку, а не в різних звітах.
Одна відповідальна сторона
Не потрібно зводити результати різних виконавців і з'ясовувати, хто за що відповідає.
Модулі, які можуть входити
Це не фіксований пакет. Беремо тільки ті модулі, які відповідають вашій поверхні атаки.
External Attack Surface Review
Що видно про компанію з інтернету і які точки уваги є на зовнішній поверхні.
Vulnerability Assessment
Кероване сканування зовнішнього периметру на відомі вразливості та небезпечні конфігурації з ручним аналізом.
Пентест вебзастосунків та API
Ручна перевірка застосунку: автентифікація, права доступу, бізнес-логіка, зв'язані сценарії атаки.
Фішинг-симуляція
Контрольована перевірка того, як команда реагує на реалістичні сценарії соціальної інженерії.
Security Assessment
Акаунти, хмарні сервіси, ролі, права доступу та процеси, які лишаються під контролем компанії.
Executive Security Review
Зведення результатів за всіма напрямами у вигляді, придатному для рішень на рівні керівництва.
Коли програма доречніша за одну послугу
- Кілька цифрових продуктів або сервісів одночасно
- Помітний зовнішній периметр і власні застосунки
- Web/API, співробітники та хмарні доступи разом
- Компанія швидко масштабується
- Потрібен незалежний зріз одразу за кількома напрямами
- Підготовка до виходу в enterprise-сегмент
- Після суттєвої зміни архітектури або міграції
- Відповідальність за безпеку розподілена між командами
Що отримує компанія
Зведена картина ризику з пріоритетами замість стосу окремих звітів.
Єдина картина ризиків
Результати всіх модулів зведені в один список, а не розкидані по окремих документах.
Підтверджені знахідки
Те, що ми справді перевірили в погоджених межах, а не список припущень від інструменту.
Пріоритети
Що критично, що важливо, а що може почекати — з поясненням, чому саме так.
Технічні деталі команді
Конкретно, що змінити — у формі, придатній для роботи інженерів.
Зведення для керівництва
Окремий рівень викладу для тих, хто ухвалює рішення про бюджет і пріоритети.
Розбір і повторна перевірка
Проходимо результати разом. Повторну перевірку виправлень робимо в межах погоджених робіт.
Програма чи окрема послуга
Одна чітка задача? Беріть окрему послугу. Програма потрібна там, де напрямів кілька.
| Формат | Характер | Відповідає на питання |
|---|---|---|
| External Security Review | Пасивно, до дозволу | Що взагалі видно ззовні і чи є сенс іти глибше |
| Vulnerability Assessment | Активно, після дозволу | Які відомі технічні проблеми є на широкому периметрі |
| Пентест | Активно, ручна робота | Чи можна реально пройти всередину застосунку та як саме |
| Security Assessment | Конфігурації та процеси | Чи безпечно налаштовані акаунти, доступи та хмарні сервіси |
| Фішинг-симуляція | Людський фактор | Як команда реагує на соціальну інженерію |
| Veiltrack Security Program | Кілька напрямів, одні межі | Який рівень ризику компанії в цілому та з чого починати |
Часті запитання
Ні. Склад програми формуємо після короткого розбору під реальну поверхню атаки компанії. Якщо у вас немає власного вебзастосунку, пентест застосунку в програму не потрапить. Платити за модулі, які нічого не перевіряють, немає сенсу.
Одні погоджені межі замість кількох окремих домовленостей, одна спільна пріоритезація знахідок за всіма напрямами та один відповідальний партнер. Ризики з різних векторів порівнюються між собою, а не живуть у різних звітах.
Ні. Red Team Engagement — окремий формат за окремо погодженими межами для великих і складних інфраструктур. Автоматично в програму він не входить.
Ні. Бронювання дзвінка — це лише зустріч. Кожен активний модуль програми починається лише після погоджених меж перевірки і письмового дозволу.
Вартість залежить від складу модулів і обсягу перевірки та фіксується до початку роботи.
Забронюйте 30-хвилинний розбір
Коротка розмова на 30 хвилин: розберемо вашу поверхню атаки і зберемо склад програми під вашу ситуацію.