Команда безопасности клиента проверяет ваше приложение.
Их закупки или проверка безопасности требуют свежего независимого отчёта о пентесте, прежде чем подписать или продлить. Сделка не сдвинется, пока вы его не предоставите — а у вас его нет.
Ручное тестирование на проникновение приложений
Senior-инженеры вручную атакуют ваше веб-приложение так, как это сделал бы решительный злоумышленник — выявляя дефекты бизнес-логики и цепочки атак, которые широкий пентест общего профиля обычно пропускает, чтобы вы могли выпускать продукт, продавать и проходить аудиты без неизвестных.
Нам доверяют
Знакомая ситуация?
Аудит требует независимого тестирования приложения.
SOC 2, ISO 27001, PCI или отраслевой регулятор требуют независимого тестирования приложения на проникновение. Вам нужен отчёт, который пройдёт с первого раза — не ставя roadmap на паузу на недели.
Ваш настоящий риск — в логике, а не в стиле кода.
Приложение делает именно то, для чего создано — и в этом проблема. Пользователь пропускает шаг, повторяет запрос или получает доступ к чужому. Тест по чек-листу такого не ищет.
Вы релизите еженедельно и считаете, что это безопасно.
Команда движется быстро и говорит, что продукт надёжен. Но никто извне независимо не пытался его сломать — поэтому вы на самом деле не знаете, что злоумышленник мог бы проэксплуатировать между релизами.
Произошёл инцидент — или почти произошёл.
У вас, почти у вас или в вашей отрасли. Внутренняя проверка закрыла очевидное — но клиентам, партнёрам и инвесторам нужен независимый отчёт, чтобы поверить, что проблема действительно устранена.
Последний пентест выглядел как «галочка».
Вы заплатили, получили PDF с малоценным шумом, а инженеры проигнорировали бóльшую часть. Вы не уверены, что продукт стал хоть немного безопаснее, чем до начала.
Цена бездействия
94%
протестированных приложений имеют ту или иную форму нарушенного контроля доступа — класс дефектов, который тест по чек-листу стабильно недооценивает и который надёжно выявляет только сфокусированная ручная работа.
~200 days
среднее время только на выявление утечки — достаточно долгое, чтобы злоумышленник тихо добрался до важных данных.
1 flaw
не в том месте — IDOR, сломанная проверка аутентификации — может раскрыть данные каждого клиента. Достаточно пропустить лишь один.
Что именно тестировать
Глубокое ручное тестирование всего, к чему прикасаются ваши пользователи — и всего, до чего злоумышленник может добраться за этим.
Black-box
Симуляция внешнего злоумышленника, начинающего с публично видимого, без предварительного доступа или знаний о приложении.
Grey-box
Аутентифицированное тестирование по всем ролям пользователей и уровням разрешений, чтобы задействовать логику и границы доступа так, как это сделал бы реальный пользователь — или злоумышленник.
Классы уязвимостей, которые ищем
- Злоупотребление бизнес-логикой
- Нарушенный контроль доступа
- IDOR
- Повышение привилегий
- Обход аутентификации
- Дефекты управления сессиями
- Захват учётных записей
- Злоупотребление сбросом пароля
- Обход MFA
- Дефекты SSO / SAML / OAuth
- Дефекты JWT
- Злоупотребление многошаговыми процессами
- Race conditions
- Mass assignment
- SQL-инъекция
- NoSQL-инъекция
- Инъекция команд
- Инъекция шаблонов (SSTI)
- Reflected XSS
- Stored XSS
- DOM XSS
- CSRF
- SSRF
- XXE
- Небезопасная десериализация
- Злоупотребление загрузкой файлов
- Path traversal
- Открытые перенаправления
- Криптографические слабости
- Раскрытие информации
- Ошибки конфигурации
- Дефекты ограничения частоты запросов
Поверхность приложения для покрытия
- Веб-фронтенд
- Веб-бэкенд
- Потоки аутентификации
- Авторизация и модели разрешений
- Роли пользователей
- Обработка сессий
- Сброс пароля и восстановление доступа
- SSO / OAuth / SAML
- MFA
- Админ-панели
- Внутренние инструменты и дашборды
- Многошаговые бизнес-процессы
- Загрузка и доступ к файлам
- Платежи и оформление заказа
- Логика биллинга
- Поиск
- Импорт / экспорт
- Сторонние интеграции
- Логика email и уведомлений
- Фоновые задачи
- API, лежащие в основе приложения
- Логика на стороне клиента
- Забытые / устаревшие компоненты приложения
Что на самом деле значит ручное
Большинство тестов безопасности останавливаются на обнаружении уязвимости. Для нас это лишь отправная точка.
Пример: SQL-инъекция
Уровень 1 — Поверхностный
Найти и пометить
Типичный результат для
сканеры, фрилансеры, bug bounty
Сканер помечает SQL-инъекцию в параметре URL. В отчёте — «High». На этом всё.
Уровень 2 — Стандартный
Подтвердить и зафиксировать
Типичный результат для
большинство пентест-вендоров
Тестировщик подтверждает инъекцию, извлекает несколько записей пользователей как доказательство, описывает находку. Проект завершён.
Уровень 3 — Глубокий
Цепочка и реальное влияние
Типичный результат для
XRAY CyberSecurity
Находим SQLi, извлекаем записи пользователей, сопоставляем их с учётными данными из забытого бэкапа на соседнем субдомене, определяем ценные цели, эксплуатируем дефект изоляции тенантов, создаём собственный инструмент для получения административного доступа — и демонстрируем путь к компрометации данных вашего Enterprise-клиента.
Пример: Cross-Site Scripting
Уровень 1 — Поверхностный
Найти и пометить
Типичный результат для
сканеры, фрилансеры, bug bounty
Сканер помечает reflected XSS в поле поиска. Отмечено как «Medium». Внесено в список.
Уровень 2 — Стандартный
Подтвердить и зафиксировать
Типичный результат для
большинство пентест-вендоров
Тестировщик подтверждает XSS, демонстрирует popup как proof-of-concept с доступом к сессионному токену, фиксирует находку. Готово.
Уровень 3 — Глубокий
Цепочка и реальное влияние
Типичный результат для
XRAY CyberSecurity
Находим XSS, строим PoC, крадущий сессионные токены, доставляем его пользователям платформы, собираем токены, через дефект проверки ролей повышаем привилегии, так же атакуем администраторов, крадём их токены, перехватываем администрирование тенанта — и демонстрируем захват платформы, в том числе путь к компрометации Enterprise-клиентов.
Собственные цепочки
У каждого периметра — своя цепочка атак
У вашего — своя, возможно несколько, заложенных в топологию вашей сети, открытые сервисы и доверие между ними.
Иногда цепочка ведёт к полной компрометации. Иногда ваша защита разрывает её посередине — и мы сообщаем, где именно и почему.
В любом случае: вы видите то, что на самом деле видит злоумышленник.
Не уверены, что включить в скоуп для вашего приложения? Подберём оптимальный вариант.
Senior-пентестер (а не менеджер по продажам) вернётся к вам с честной оценкой того, что действительно стоит тестировать.
Кейсы
Из реальных проектов
Несколько проектов, показывающих, как выглядит работа с нами — в масштабе, годами, в разных отраслях.
Производство · FMCG
Серия пентест-проектов для глобальной food & beverage компании, работающей в 120+ странах.
Blackbox- и Greybox-тестирование нескольких ИТ-сервисов — гарантируем высокую защиту потребителей, сотрудников, подрядчиков и акционеров, удовлетворяя требования compliance на уровне группы.
Читать кейс
B2B SaaS · LMS
Комплексный пентест веб-приложения для поддержки сертификации ISO 27001 корпоративной LMS-платформы.
Blackbox- и Greybox-тестирование по OWASP — с повторным тестированием после устранения и финальным отчётом, подтвердившим уровень безопасности для аудита ISO 27001.
Читать кейсЧто вы получите
Пять артефактов — рассчитанных на тех, кто действительно ими пользуется: ваши инженеры, ваш C-level, аудиторы и Enterprise-клиенты.
Хотите увидеть, как они выглядят на деле?
Реальная структура, реальные находки, реальный формат. Те самые документы, которые увидит ваша команда и аудиторы.
Срочный промежуточный отчёт
Найдём Critical — узнаете в тот же день.
Если в процессе работы мы обнаружим уязвимость уровня Critical, требующую немедленных действий, вы получите оповещение с шагами воспроизведения и рекомендациями. Мы продолжаем тестировать, вы параллельно начинаете устранять. Без ожидания финального отчёта.
Для
вашей инженерной команды, вашего CTO
Технический отчёт
Приоритизированные находки, по которым инженеры могут начать работу в тот же день.
Каждая уязвимость с шагами воспроизведения, PoC-эксплуатацией, оценкой бизнес-импакта и приоритизированной дорожной картой устранения. Без false-positive. Без воды. Сделано так, чтобы ваши разработчики точно знали, что и в каком порядке чинить.
Для
ваших инженеров, вашего CTO, вашей команды безопасности
Краткий отчёт для руководства
То, что действительно нужно знать совету и инвесторам.
Отчёт на бизнес-языке: security-postur вашего продукта, выявленные риски, их потенциальный бизнес-импакт и путь устранения. Написан для CEO, советов, инвесторов и Enterprise-закупок — не для инженеров.
Для
вашего CEO, вашего совета, инвесторов, контрагентов M&A и ваших клиентов
Отчёт о повторном тестировании
Проверенные доказательства того, что исправления работают.
После того как ваша команда устранит находки, мы повторно тестируем каждую и подтверждаем, что фикс выдерживает ту же эксплуатацию. Обновлённый отчёт — ваше доказательство, что уязвимости действительно закрыты, а не «закрыты» на бумаге.
Для
ваших аудиторов, ваших Enterprise-клиентов
Сертификат безопасности
Публичный артефакт, который можно показать клиентам и потенциальным заказчикам.
После устранения и повторного тестирования мы выдаём официальный сертификат, подтверждающий, что продукт прошёл глубокий ручной пентест. Используйте его на сайте, в анкетах безопасности, в переговорах с Enterprise — это тот документ, который хотят видеть ваши потенциальные клиенты и их закупки.
Для
вашего отдела продаж, маркетинга, потенциальных Enterprise-клиентов
Как мы достигаем ваших целей
Отраслевые стандарты, выполненные senior-инженерами.
Стандарты
Методологии, которым следуем
- OWASP
- PTES
- NIST SP 800-115
- MITRE ATT&CK
Требования compliance, которые мы закрываем
- SOC 2
- ISO 27001
- GDPR
- HIPAA
- PCI DSS
Принципы, на которых мы работаем
Ручной хакинг
Сканеры — только базовая линия. Каждая находка собрана и подтверждена senior-инженером — эксплуатируется и связывается в цепочки вручную, с учётом контекста вашей платформы.
Циклично, а не линейно
Каждая находка — основа для следующей. Новый доступ раскрывает новую поверхность. Мы возвращаемся, копаем глубже и выстраиваем цепочки — пока не достигнем максимального ущерба, который позволяет ваша архитектура.
Бизнес-импакт, а не список багов
Список CVE не говорит вам, что атакующий реально сделает с бизнесом. Мы переводим каждую находку в сценарий из реального мира — что компрометируется, кто что теряет и как разворачивается цепочка.
Только senior-инженеры
Никаких джунов, обучающихся на вашем продукте, никакого аутсорса для подстраховки, никакой замены инженеров посередине проекта. Каждый проект ведут senior-инженеры наступательной безопасности с глубоким опытом в B2B SaaS.
Качество важнее скорости
Мы не конвейер, оптимизированный под пропускную способность. Берём меньше проектов одновременно и глубоко погружаемся в каждый — это сознательный выбор.
Не навредить
Все тесты идут по подписанному Rules of Engagement. Действия с высоким риском в продакшене заранее согласуются с вами. Critical-находки вызывают немедленное оповещение — никаких сюрпризов, никаких сломанных окружений.
Применимые находки, ноль false-positive
Каждая находка проверена, приоритизирована и описана с шагами воспроизведения и рекомендациями по устранению. Ваши инженеры точно знают, что чинить первым — и не теряют день на шум.
Коммуникация инженер–инженер
Прямой доступ к нашим инженерам на протяжении всего проекта. Никаких посредников из продаж, никаких project-менеджеров, фильтрующих техдетали.
Хакинг как ремесло
Мы нанимаем инженеров, которые хакают в свободное время — для ресерча, для CTF, ради самого ремесла. Наша команда воспринимает каждый проект как задачу, которую надо решить, а не тикет, который надо закрыть.
От вашего первого сообщения до финального сертификата
Структурированный проект, построенный вокруг вашей команды: senior-инженеры, прямая коммуникация, ноль сюрпризов.
-
Первый разговор
Что происходит- Вы пишете нам — звонком, формой или email, как вам удобнее
- Отвечает senior-инженер (не sales-менеджер)
- Вместе определяем цели и скоуп проекта
- Честно говорим, подходим ли мы вам и что реально стоит тестировать
Вы получаете Чёткий ответ по направлению — и подходим ли мы друг другу — до подписания чего-либо. -
Скоуп и коммерческое предложение
Что происходит- Техническая сессия с вашей командой, чтобы понять архитектуру, роли и поверхность приложения
- Проводим вас по образцу отчёта, чтобы вы точно знали, как выглядят артефакты
- Вы получаете детальное коммерческое предложение: скоуп, подход, сроки, цена
Вы получаете Полное предложение и образец отчёта, которые можно показать вашим CTO, CISO, CEO и закупкам до принятия решения. -
Kick-off
Что происходит- Подписаны контракт и NDA
- Подписан Rules of Engagement — чёткие границы того, что тестируем, когда и как
- Выдача доступов и передача документации
- На проект назначается senior-инженерная команда и проводится её бриф
Вы получаете Подписанный контракт, документ Rules of Engagement, итоги kick-off-встречи. -
Разведка и моделирование угроз
Что происходит- Пассивный сбор информации по вашей публичной поверхности
- Картирование архитектуры — как устроено приложение и где зоны наибольшего риска
- Модель угроз: что стоит атаковать и как реально подойдёт к вашему продукту атакующий
- На время проекта поднимается прямой канал инженер–инженер
Вы получаете Если на этом этапе всплывает что-то срочное — мы сообщаем немедленно. В остальном этот этап напрямую питает последующее тестирование. -
Активная эксплуатация
Что происходит- Ручной хакинг, поиск и эксплуатация уязвимостей
- Сборка цепочек атак из нескольких находок
- Оценка ущерба по каждой находке перед эксплуатацией в продакшене
- Постоянный цикл: каждый новый доступ открывает новую поверхность, мы идём глубже
Вы получаете Если находим критический путь атаки, легко эксплуатируемый и требующий немедленных действий, вы получаете Срочный промежуточный отчёт — оповещение с шагами воспроизведения и рекомендуемым ответом. Мы продолжаем тестировать, вы начинаете устранять параллельно. -
Передача основного отчёта
Что происходит- Находки консолидированы, проверены и описаны
- Подготовлены Технический отчёт и Краткий отчёт для руководства
- Дорожная карта устранения приоритизирована
Вы получаете Технический отчёт (для ваших инженеров) и Краткий отчёт для руководства (для совета, Enterprise-клиентов и аудиторов). -
Дебриф
Что происходит- Разбор находок с вашей инженерной командой
- Разбор бизнес-импакта с вашим руководством
- Q&A по приоритетам устранения — что чинить первым и почему
Вы получаете Приоритизированную дорожную карту устранения и прямые ответы на вопросы вашей команды. -
Сопровождение устранения
Что происходит- Поддержка ваших разработчиков на всём цикле исправлений
- Разъяснение векторов атаки и подходов к устранению
- Темп задаёт ваша команда — мы не подгоняем и не затягиваем
Вы получаете Техническое сопровождение в процессе устранения в рамках вашего проекта. -
Повторное тестирование и финальный сертификат
Что происходит- Каждая устранённая находка повторно проверяется тем же способом эксплуатации
- Проверяем, что исправление действительно держит — не «починено» на бумаге
- Выдаются обновлённые отчёты и сертификат безопасности
Вы получаете Отчёт о повторном тестировании, обновлённый Технический отчёт и ваш Сертификат безопасности.
Признаны отраслью
Топовые рейтинги на отраслевых платформах
Сертификации наших инженеров
Их собственными словами
XRAY CyberSecurity предоставили комплексный, хорошо структурированный отчёт с практическими рекомендациями по укреплению безопасности нашего приложения. Мы получили два отчёта — детальный Технический и отдельный для руководства — что позволило быстро представить результаты топ-менеджменту и составить план действий. Готовность напрямую общаться с нашими подрядчиками значительно ускорила устранение.
XRAY CyberSecurity провели пентест наших продуктов, построенных на разных технологиях. Мы выявили уязвимости, устранили их и получили подтверждение через повторное тестирование, что они закрыты. Общение с их командой ощущалось скорее как работа с коллегами, чем со внешним подрядчиком — профессионалы, эксперты, дали ценные советы.
XRAY CyberSecurity провели grey-box пентест по методологии OWASP. Их тщательный ручной анализ выявил уязвимости, заслуживающие внимания, а детальные технический и executive-отчёты — с последующим повторным тестированием, подтвердившим устранение — позволили нам пройти сертификацию по ISO 27001.
XRAY CyberSecurity провели тщательную оценку наших веб-приложений и облачных сред, моделируя сценарии реальных атак. Подробные отчёты содержали понятные применимые выводы, которые существенно улучшили нашу security-postur, а способность доносить сложные находки в простой форме была неоценима для нашей команды.
Работа была выполнена быстро и профессионально. Специалисты XRAY CyberSecurity указали на наши уязвимые места, что позволило улучшить качество ПО. Мы получили отчёт с детальными сценариями проникновения и как техническими, так и организационными рекомендациями по устранению и предотвращению.
5/5 на Clutch
читать все отзывы
Готовы тестировать ваше приложение?
Частые вопросы
Повлияет ли тестирование на нашу продакшн-среду?
Нет, и это заложено по замыслу. Каждый проект выполняется по подписанным Правилам проведения (Rules of Engagement), определяющим, что именно и как мы тестируем. Действия с высоким риском на продакшене — всё, что может повлиять на производительность, целостность данных или реальных пользователей — согласовываются заранее и выполняются только с вашего явного разрешения. Если вы предпочитаете staging, мы адаптируемся к тому, что у вас есть.
Пройдёт ли ваш отчёт проверку нашего аудитора и безопасности нашего клиента?
Да. Тестирование построено на OWASP WSTG, PTES и NIST SP 800-115 — методологиях, которых ожидают аудиторы. Каждый отчёт включает Краткий отчёт для руководства и Технический отчёт с шагами воспроизведения и рекомендациями по устранению для инженеров. Наши отчёты принимали команды безопасности глобальных Enterprise-компаний.
У нас уже были пентесты — чем вы отличаетесь?
Большинство фирм проводят тестирование приложений как один пункт наряду с сетью, облаком и всем остальным: широкое покрытие, ограниченная глубина, отчёт, перегруженный малоценными находками. Безопасность приложений — это дисциплина, на которой мы специализируемся. Мы вручную эксплуатируем дефекты контроля доступа и бизнес-логики, связываем их в реальные пути атак и доказываем бизнес-влияние — так что вы получаете проэксплуатированные пути, с которыми стоит работать, а не очередь на разбор.
Тестируете ли вы также API за приложением?
Да. API, питающие ваше веб-приложение, входят в скоуп здесь — мы тестируем их как часть поверхности атаки приложения. Если ваш API — это отдельный продукт или самостоятельная основная цель (сторонние потребители, партнёрские интеграции), для этого лучше подойдёт отдельный проект по пентесту API.
Как вы обеспечиваете конфиденциальность, наши данные и юридическую ответственность?
Подписанный NDA и договор с полной корпоративной ответственностью. Находки, доказательства эксплуатации и любые полученные данные хранятся в зашифрованном виде, доступны только назначенным инженерам и удаляются после проекта в соответствии с вашим договором. У нас есть страхование профессиональной ответственности — если что-то пойдёт не так, есть компания, с которой можно спросить.
Сколько усилий это требует от нашей команды?
Меньше, чем большинство ожидает. Настройка сосредоточена в первые несколько дней — доступы, документация и обзор архитектуры на kick-off. Дальше ваша команда в основном отвечает на нечастые вопросы. Реальные затраты времени — это устранение, по вашему графику, которое мы поддерживаем прямыми техническими рекомендациями.
Нужно ли отключать наш WAF или координироваться во время тестирования?
Мы обсуждаем это на kick-off. Обычно мы либо вносим наши IP в белый список на WAF (чтобы тестировать приложение, а не ваш периметр), либо тестируем поведение WAF явно — на ваш выбор. Если у вас есть SOC, мы координируемся, чтобы тестирование не вызвало лишнего реагирования на инцидент.
А если вы ничего не найдёте?
Редкость — но если так случается, чистый результат от команды senior-уровня показателен. Вы всё равно получаете полный набор артефактов: отчёт, документирующий глубину тестирования, применённые методологии и покрытые компоненты — тот самый артефакт, который нужен вашим аудиторам и клиентам.
Включено ли повторное тестирование и есть ли скрытые платежи?
Цена в предложении фиксированная, в договоре, привязана к согласованному скоупу. Повторное тестирование после устранения включено — мы перепроверяем каждую находку против исходной эксплуатации и выдаём обновлённый отчёт и Сертификат безопасности. Без оплаты за каждую находку, без неожиданных счетов. Цена меняется только если вы расширяете скоуп, согласованный письменно заранее.