Testy penetracyjne

Test penetracyjny to autoryzowany, kontrolowany atak na Twoje aplikacje, systemy lub organizację, przeprowadzany przez specjalistów ds. bezpieczeństwa, aby znaleźć i wykazać realne podatności, zanim zrobią to przestępcy — wraz z rekomendacjami, jak je usunąć.

Skanowanie podatności jest automatyczne i wylicza potencjalne słabości. Pentest wykonują ludzie: potwierdzają, które słabości da się realnie wykorzystać, łączą je w łańcuchy, testują logikę biznesową, której skanery nie rozumieją, i pokazują rzeczywisty wpływ. Najlepiej działają razem — pentesty okresowo, a ciągłe skanowanie pomiędzy nimi.

Co najmniej raz w roku i po każdej istotnej zmianie — nowej aplikacji, dużym wydaniu czy zmianie infrastruktury. Minimum określają też regulacje: PCI DSS wymaga testów co najmniej raz w roku i po istotnych zmianach, a DORA — corocznych testów systemów wspierających funkcje krytyczne lub istotne.

Okna testowe, cele i techniki uzgadniamy z Tobą z wyprzedzeniem i unikamy działań, które mogłyby zaszkodzić dostępności lub danym. Jeśli wolisz, testujemy środowisko stagingowe identyczne z produkcją. Zawsze masz bezpośredni kontakt, by w każdej chwili wstrzymać test.

To zależy od zakresu: pojedyncza aplikacja webowa zajmuje znacznie mniej czasu niż test infrastruktury wewnętrznej czy ćwiczenie Red Team. Po ustaleniu zakresu podajemy dokładną liczbę dni i harmonogram w ofercie, przygotowanej w ciągu 48 godzin.

Podsumowanie dla zarządu i część techniczną dla IT: każde znalezisko z oceną krytyczności (CVSS), dowodem wykorzystania, krokami reprodukcji i konkretnymi rekomendacjami — plus wyniki retestu po usunięciu problemów.

Tak. Po usunięciu podatności testujemy je ponownie i potwierdzamy w raporcie, które problemy zostały zamknięte. To część usługi, a nie dodatkowy koszt.

Nasi etatowi pentesterzy z certyfikatami takimi jak OSCP, CEH, CompTIA Security+ i CISSP. Każde zlecenie jest objęte pisemnym upoważnieniem i NDA, a my przestrzegamy najwyższych standardów etycznych.

Tak. Przeglądamy konfigurację i uprawnienia środowisk chmurowych oraz testujemy działające w nich aplikacje i usługi, zgodnie z zasadami opublikowanymi przez dostawcę chmury.

Cena zależy od zakresu — liczby i złożoności aplikacji, hostów czy lokalizacji — oraz od podejścia (black, grey lub white box). Opisz, co chcesz przetestować, a w ciągu 48 godzin wyślemy ofertę z zakresem, harmonogramem i ceną.