Команда безпеки клієнта перевіряє ваш застосунок.
Їхні закупівлі чи перевірка безпеки вимагають свіжого незалежного звіту про пентест, перш ніж підписати чи продовжити. Угода не зрушить, поки ви його не надасте — а в вас його немає.
Ручне тестування на проникнення застосунків
Senior-інженери вручну атакують ваш вебзастосунок так, як це зробив би рішучий зловмисник — виявляючи вади бізнес-логіки та ланцюжки атак, які широкий пентест загального профілю зазвичай пропускає, щоб ви могли випускати продукт, продавати й проходити аудити без невідомих.
Нам довіряють
Знайома ситуація?
Аудит вимагає незалежного тестування застосунку.
SOC 2, ISO 27001, PCI чи галузевий регулятор вимагають незалежного тестування на проникнення застосунку. Вам потрібен звіт, що пройде з першого разу — без того, щоб ставити roadmap на паузу на тижні.
Ваш справжній ризик — у логіці, а не в стилі коду.
Застосунок робить саме те, для чого його створили — і в цьому проблема. Користувач пропускає крок, повторює запит або отримує доступ до чужого. Тест за чеклістом такого не шукає.
Ви релізите щотижня й вважаєте, що це безпечно.
Команда рухається швидко й каже, що продукт надійний. Але ніхто ззовні незалежно не намагався його зламати — тож ви насправді не знаєте, що зловмисник міг би проексплуатувати між релізами.
Стався інцидент — або майже стався.
У вас, майже у вас чи у вашій галузі. Внутрішня перевірка закрила очевидне — але клієнтам, партнерам та інвесторам потрібен незалежний звіт, щоб повірити, що проблему справді усунено.
Останній пентест виглядав як «галочка».
Ви заплатили, отримали PDF із малоцінним шумом, а інженери проігнорували більшість. Ви не впевнені, що продукт став бодай трохи безпечнішим, ніж до початку.
Ціна бездіяльності
94%
протестованих застосунків мають ту чи іншу форму порушеного контролю доступу — клас вад, який тест за чеклістом стабільно недооцінює і який надійно виявляє лише сфокусована ручна робота.
~200 days
середній час лише на виявлення витоку — достатньо довгий, щоб зловмисник тихо дістався до важливих даних.
1 flaw
не в тому місці — IDOR, зламана перевірка автентифікації — може розкрити дані кожного клієнта. Достатньо пропустити лише одну.
Що саме тестувати
Глибоке ручне тестування усього, до чого торкаються ваші користувачі — і усього, до чого зловмисник може дістатися за цим.
Black-box
Симуляція зовнішнього зловмисника, що починає з публічно видимого, без попереднього доступу чи знань про застосунок.
Grey-box
Автентифіковане тестування по всіх ролях користувачів і рівнях дозволів, щоб ми задіяли логіку та межі доступу так, як це зробив би реальний користувач — чи зловмисник.
Класи вразливостей, які шукаємо
- Зловживання бізнес-логікою
- Порушений контроль доступу
- IDOR
- Підвищення привілеїв
- Обхід автентифікації
- Вади управління сесіями
- Захоплення облікових записів
- Зловживання скиданням пароля
- Обхід MFA
- Вади SSO / SAML / OAuth
- Вади JWT
- Зловживання багатокроковими процесами
- Race conditions
- Mass assignment
- SQL-ін’єкція
- NoSQL-ін’єкція
- Ін’єкція команд
- Ін’єкція шаблонів (SSTI)
- Reflected XSS
- Stored XSS
- DOM XSS
- CSRF
- SSRF
- XXE
- Небезпечна десеріалізація
- Зловживання завантаженням файлів
- Path traversal
- Відкриті перенаправлення
- Криптографічні слабкості
- Розкриття інформації
- Помилки конфігурації
- Вади обмеження частоти запитів
Поверхня застосунку до покриття
- Веб-фронтенд
- Веб-бекенд
- Потоки автентифікації
- Авторизація та моделі дозволів
- Ролі користувачів
- Обробка сесій
- Скидання пароля та відновлення доступу
- SSO / OAuth / SAML
- MFA
- Адмін-панелі
- Внутрішні інструменти та дашборди
- Багатокрокові бізнес-процеси
- Завантаження та доступ до файлів
- Платежі та оформлення замовлення
- Логіка білінгу
- Пошук
- Імпорт / експорт
- Сторонні інтеграції
- Логіка email та сповіщень
- Фонові завдання
- API, що лежать в основі застосунку
- Логіка на стороні клієнта
- Забуті / застарілі компоненти застосунку
Що насправді означає ручне
Більшість роботи з безпеки зупиняється на виявленні вразливості. Для нас це лише відправна точка.
Приклад: SQL-ін’єкція
Рівень 1 — Поверхневий
Знайти й позначити
Типовий результат для
сканери, фрилансери, bug bounty
Сканер позначає SQL-ін’єкцію в параметрі URL. У звіті вона значиться як «High». На цьому все.
Рівень 2 — Стандартний
Підтвердити та зафіксувати
Типовий результат для
більшість пентест-вендорів
Тестувальник підтверджує ін’єкцію, витягує кілька записів користувачів як доказ, описує знахідку. Проєкт завершено.
Рівень 3 — Глибокий
Ланцюжок і реальний вплив
Типовий результат для
XRAY CyberSecurity
Знаходимо SQLi, витягуємо записи користувачів, зіставляємо їх з обліковими даними із забутого бекапу на сусідньому субдомені, визначаємо цінні цілі, експлуатуємо ваду ізоляції тенантів, створюємо власний інструмент для отримання адміністративного доступу — і демонструємо шлях до компрометації даних вашого Enterprise-клієнта.
Приклад: Cross-Site Scripting
Рівень 1 — Поверхневий
Знайти й позначити
Типовий результат для
сканери, фрилансери, bug bounty
Сканер позначає reflected XSS у полі пошуку. Позначено як «Medium». Внесено до списку.
Рівень 2 — Стандартний
Підтвердити та зафіксувати
Типовий результат для
більшість пентест-вендорів
Тестувальник підтверджує XSS, демонструє popup як proof-of-concept із доступом до сесійного токена, фіксує знахідку. Готово.
Рівень 3 — Глибокий
Ланцюжок і реальний вплив
Типовий результат для
XRAY CyberSecurity
Знаходимо XSS, будуємо PoC, що викрадає сесійні токени, доставляємо його користувачам платформи, збираємо токени, через ваду перевірки ролей підвищуємо привілеї, так само атакуємо адміністраторів, викрадаємо їхні токени, перехоплюємо адміністрування тенанта — і демонструємо захоплення платформи, зокрема шлях до компрометації Enterprise-клієнтів.
Власні ланцюжки
У кожного периметра — свій ланцюжок атак
У вашого — свій, можливо кілька, закладених у топологію вашої мережі, відкриті сервіси та інфраструктуру ідентифікації.
Іноді ланцюжок веде до повної компрометації. Іноді ваш захист розриває його посередині — і ми повідомляємо, де саме та чому.
У будь-якому разі: ви бачите те, що насправді бачить зловмисник.
Не впевнені, що включити в скоуп для вашого застосунку? Підберемо оптимальний варіант.
Senior-пентестер (а не менеджер з продажів) повернеться до вас із чесною оцінкою того, що справді варто тестувати.
Кейси
З реальних проєктів
Кілька проєктів, що показують, як виглядає робота з нами — у масштабі, роками, у різних галузях.
Виробництво · FMCG
Серія пентест-проєктів для глобальної food & beverage компанії, що працює у 120+ країнах.
Blackbox- і Greybox-тестування кількох ІТ-сервісів — гарантуємо високий захист для споживачів, працівників, підрядників та акціонерів, водночас задовольняючи вимоги compliance на рівні групи.
Читати кейс
B2B SaaS · LMS
Комплексний пентест вебзастосунку для підтримки сертифікації ISO 27001 корпоративної LMS-платформи.
Blackbox- і Greybox-тестування за OWASP — з повторним тестуванням після усунення та фінальним звітом, що підтвердив рівень безпеки для аудиту ISO 27001.
Читати кейсЩо ви отримаєте
П'ять артефактів — розрахованих на тих, хто справді ними користуватиметься: ваші інженери, ваш C-level, аудитори та Enterprise-клієнти.
Хочете побачити, як вони виглядають насправді?
Реальна структура, реальні знахідки, реальний формат. Саме ті документи, які побачить ваша команда й аудитори.
Терміновий проміжний звіт
Знайдемо Critical — дізнаєтеся того ж дня.
Якщо в процесі роботи ми виявимо вразливість рівня Critical, що потребує негайних дій, ви отримаєте сповіщення з кроками відтворення та рекомендаціями. Ми продовжуємо тестувати, ви паралельно починаєте усувати. Без очікування фінального звіту.
Для
вашої інженерної команди, вашого CTO
Технічний звіт
Пріоритизовані знахідки, з якими інженери можуть розпочати роботу того ж дня.
Кожна вразливість із кроками відтворення, PoC-експлуатацією, оцінкою бізнес-впливу та пріоритизованою дорожньою картою усунення. Без false-positive. Без зайвого. Зроблено так, щоб ваші розробники точно знали, що й у якому порядку виправляти.
Для
ваших інженерів, вашого CTO, вашої команди безпеки
Стислий звіт для керівництва
Те, що дійсно треба знати раді та інвесторам.
Звіт бізнес-мовою: security-postur вашого продукту, виявлені ризики, їхній потенційний бізнес-вплив і шлях усунення. Написаний для CEO, рад, інвесторів і Enterprise-закупівель — не для інженерів.
Для
вашого CEO, вашої ради, інвесторів, контрагентів M&A та ваших клієнтів
Звіт про повторне тестування
Перевірений доказ того, що виправлення працюють.
Після того як ваша команда усуне знахідки, ми перевіряємо кожну тим самим способом експлуатації, щоб підтвердити, що виправлення тримається. Оновлений звіт — ваш доказ того, що вразливості справді закрито, а не «закрито» на папері.
Для
ваших аудиторів, ваших Enterprise-клієнтів
Сертифікат безпеки
Публічний артефакт, який можна показати клієнтам і потенційним замовникам.
Після усунення та повторного тестування ми видаємо офіційний сертифікат, що підтверджує: продукт пройшов глибокий ручний пентест. Використовуйте його на сайті, в анкетах безпеки, у переговорах із Enterprise — це той документ, який хочуть бачити ваші потенційні клієнти та їхні закупівлі.
Для
вашого відділу продажу, маркетингу, потенційних Enterprise-клієнтів
Як ми досягаємо ваших цілей
Галузеві стандарти, виконані senior-інженерами.
Стандарти
Методології, яких дотримуємося
- OWASP
- PTES
- NIST SP 800-115
- MITRE ATT&CK
Вимоги compliance, які закриваємо
- SOC 2
- ISO 27001
- GDPR
- HIPAA
- PCI DSS
Принципи, на яких будуємо роботу
Ручний хакінг
Сканери — лише базовий рівень. Кожна знахідка зібрана та підтверджена senior-інженером — експлуатована й об'єднана в ланцюжки вручну, з урахуванням контексту вашої платформи.
Циклічно, а не лінійно
Кожна знахідка живить наступну. Новий доступ відкриває нову поверхню атаки. Ми повертаємося, копаємо глибше та вибудовуємо ланцюжки — поки не досягнемо максимального впливу, який дозволяє ваша архітектура.
Бізнес-вплив, а не список багів
Список CVE не каже, що атакуючий реально зробить із вашим бізнесом. Ми переводимо кожну знахідку в сценарій реального світу — що компрометується, хто що втрачає та як розгортається ланцюжок.
Лише senior-інженери
Жодних джунів, що вчаться на вашому продукті, жодного аутсорсу для підстраховки, жодної заміни інженерів посеред проєкту. Кожним проєктом керують senior-інженери наступальної безпеки з глибоким досвідом у B2B SaaS.
Якість важливіша за швидкість
Ми не конвеєр, оптимізований під пропускну здатність. Беремо менше проєктів одночасно й глибоко занурюємось у кожен — це свідомий вибір.
Не нашкодити
Усі тести відбуваються за підписаним Rules of Engagement. Дії з високим ризиком у продакшені заздалегідь узгоджуємо з вами. Critical-знахідки запускають негайне сповіщення — без сюрпризів і поламаних середовищ.
Застосовні знахідки, нуль false-positive
Кожна знахідка перевірена, пріоритизована та задокументована з кроками відтворення та рекомендаціями. Ваші інженери точно знають, що чинити першим — і не марнують день на шум.
Комунікація інженер–інженер
Прямий доступ до наших інженерів упродовж усього проєкту. Жодних посередників із продажів, жодних project-менеджерів, що фільтрують технічні деталі.
Хакінг як ремесло
Ми наймаємо інженерів, які хакають у вільний час — для рисерчу, для CTF, заради самого ремесла. Наша команда сприймає кожен проєкт як задачу, яку треба розв'язати, а не тікет, який треба закрити.
Від вашого першого повідомлення до фінального сертифіката
Структурований проєкт, побудований навколо вашої команди: senior-інженери, пряма комунікація, нуль сюрпризів.
-
Перша розмова
Що відбувається- Ви пишете нам — дзвінком, формою або email, як вам зручніше
- Відповідає senior-інженер (не sales-менеджер)
- Разом визначаємо цілі та скоуп проєкту
- Чесно говоримо, чи підходимо ми вам і що реально варто тестувати
Ви отримуєте Чітку відповідь щодо напрямку — і чи підходимо ми одне одному — до підписання чого-небудь. -
Скоуп і комерційна пропозиція
Що відбувається- Технічна сесія з вашою командою, щоб зрозуміти архітектуру, ролі та поверхню застосунку
- Проводимо вас по зразку звіту, щоб ви точно знали, як виглядають артефакти
- Ви отримуєте детальну комерційну пропозицію: скоуп, підхід, терміни, ціна
Ви отримуєте Повну пропозицію та зразок звіту, які можна показати вашим CTO, CISO, CEO й закупівлям перед ухваленням рішення. -
Kick-off
Що відбувається- Підписано контракт і NDA
- Підписано Rules of Engagement — чіткі межі: що тестуємо, коли і як
- Видача доступів і передача документації
- На проєкт призначається senior-інженерна команда та проводиться її бриф
Ви отримуєте Підписаний контракт, документ Rules of Engagement, підсумок kick-off-зустрічі. -
Розвідка та моделювання загроз
Що відбувається- Пасивний збір інформації за вашою публічною поверхнею
- Картування архітектури — як побудований застосунок і де зони найбільшого ризику
- Модель загроз: що варто атакувати та як реально підходитиме до вашого продукту атакуючий
- На час проєкту піднімається прямий канал інженер–інженер
Ви отримуєте Якщо на цьому етапі виринає щось термінове — повідомляємо негайно. В іншому ж — цей етап прямо живить подальші тести. -
Активна експлуатація
Що відбувається- Ручний хакінг, пошук та експлуатація вразливостей
- Складання ланцюжків атак з кількох знахідок
- Оцінка впливу для кожної знахідки перед експлуатацією в продакшені
- Постійний цикл: кожен новий доступ відкриває нову поверхню, ми йдемо глибше
Ви отримуєте Якщо знаходимо критичний шлях атаки, який легко експлуатувати та потребує негайних дій, ви отримуєте Терміновий проміжний звіт — сповіщення з кроками відтворення та рекомендованою відповіддю. Ми продовжуємо тестувати, ви починаєте усувати паралельно. -
Передача основного звіту
Що відбувається- Знахідки консолідовано, перевірено та задокументовано
- Підготовлено Технічний звіт і Стислий звіт для керівництва
- Дорожню карту усунення пріоритизовано
Ви отримуєте Технічний звіт (для ваших інженерів) і Стислий звіт для керівництва (для ради, Enterprise-клієнтів та аудиторів). -
Дебриф
Що відбувається- Розбір знахідок із вашою інженерною командою
- Розбір бізнес-впливу з вашим керівництвом
- Q&A щодо пріоритетів усунення — що чинити першим і чому
Ви отримуєте Пріоритизовану дорожню карту усунення та прямі відповіді на питання вашої команди. -
Супровід усунення
Що відбувається- Підтримка ваших розробників упродовж усього циклу виправлень
- Роз'яснення векторів атак і підходів до усунення
- Темп задає ваша команда — ми не підганяємо й не затягуємо
Ви отримуєте Технічний супровід під час усунення в межах вашого проєкту. -
Повторне тестування та фінальний сертифікат
Що відбувається- Кожна усунена знахідка повторно перевіряється тим самим способом експлуатації
- Перевіряємо, що виправлення дійсно тримає — не «полагоджено» на папері
- Видаються оновлені звіти та сертифікат безпеки
Ви отримуєте Звіт про повторне тестування, оновлений Технічний звіт і ваш Сертифікат безпеки.
Визнані галуззю
Топові рейтинги на галузевих платформах
Сертифікації наших інженерів
Їхніми власними словами
XRAY CyberSecurity надали комплексний, добре структурований звіт із практичними рекомендаціями щодо посилення безпеки нашого застосунку. Ми отримали два звіти — детальний Технічний та окремий для керівництва — що дало змогу швидко презентувати результати топ-менеджменту та скласти план дій. Готовність напряму спілкуватися з нашими підрядниками суттєво пришвидшила усунення.
XRAY CyberSecurity провели пентест наших продуктів, побудованих на різних технологіях. Ми виявили вразливості, усунули їх та отримали підтвердження через повторне тестування, що їх закрито. Спілкування з командою радше нагадувало роботу з колегами, ніж зі стороннім підрядником — професіонали, експерти, дали цінні поради.
XRAY CyberSecurity провели grey-box пентест за методологією OWASP. Їхній ретельний ручний аналіз виявив вразливості, що заслуговують уваги, а детальні технічний та executive-звіти — з подальшим повторним тестуванням, що підтвердило усунення — дали нам змогу пройти сертифікацію за ISO 27001.
XRAY CyberSecurity провели ретельну оцінку наших веб-застосунків і хмарних середовищ, моделюючи сценарії реальних атак. Детальні звіти містили зрозумілі, застосовні висновки, які суттєво покращили нашу security-postur, а вміння доносити складні знахідки в простій формі було неоціненним для нашої команди.
Роботу виконано швидко та професійно. Фахівці XRAY CyberSecurity вказали на наші вразливі місця, що дало нам змогу покращити якість ПЗ. Ми отримали звіт із детальними сценаріями проникнення та технічними й організаційними рекомендаціями щодо усунення й запобігання.
5/5 на Clutch
читати всі відгуки
Готові тестувати ваш застосунок?
Поширені запитання
Чи вплине тестування на наше продакшн-середовище?
Ні, і це закладено за задумом. Кожен проєкт виконується за підписаними Правилами проведення (Rules of Engagement), що визначають, що саме й як ми тестуємо. Дії з високим ризиком на продакшені — усе, що може вплинути на продуктивність, цілісність даних чи реальних користувачів — узгоджуються заздалегідь і виконуються лише з вашого явного дозволу. Якщо ви віддаєте перевагу staging, ми адаптуємося до того, що у вас є.
Чи пройде ваш звіт перевірку нашого аудитора та безпеки нашого клієнта?
Так. Тестування побудоване на OWASP WSTG, PTES і NIST SP 800-115 — методологіях, яких очікують аудитори. Кожен звіт містить Стислий звіт для керівництва та Технічний звіт із кроками відтворення й рекомендаціями з усунення для інженерів. Наші звіти приймали команди безпеки глобальних Enterprise-компаній.
У нас уже були пентести — чим ви відрізняєтесь?
Більшість фірм проводять тестування застосунків як один пункт поряд із мережею, хмарою та всім іншим: широке покриття, обмежена глибина, звіт, переповнений малоцінними знахідками. Безпека застосунків — це дисципліна, на якій ми спеціалізуємося. Ми вручну експлуатуємо вади контролю доступу та бізнес-логіки, зв’язуємо їх у реальні шляхи атак і доводимо бізнес-вплив — тож ви отримуєте проексплуатовані шляхи, з якими варто працювати, а не чергу на розбір.
Чи тестуєте ви також API за застосунком?
Так. API, що живлять ваш вебзастосунок, входять у скоуп тут — ми тестуємо їх як частину поверхні атаки застосунку. Якщо ваш API — це окремий продукт або самостійна основна ціль (сторонні споживачі, партнерські інтеграції), для цього краще підійде окремий проєкт з пентесту API.
Як ви забезпечуєте конфіденційність, наші дані та юридичну відповідальність?
Підписаний NDA та договір з повною корпоративною відповідальністю. Знахідки, докази експлуатації та будь-які отримані дані зберігаються зашифрованими, доступні лише призначеним інженерам і видаляються після проєкту згідно з вашим договором. Ми маємо страхування професійної відповідальності — якщо щось піде не так, є компанія, з якої можна спитати.
Скільки зусиль це вимагає від нашої команди?
Менше, ніж більшість очікує. Налаштування зосереджене в перші кілька днів — доступи, документація та огляд архітектури на kick-off. Далі ваша команда переважно відповідає на нечасті запитання. Реальні витрати часу — це усунення, за вашим графіком, яке ми підтримуємо прямими технічними рекомендаціями.
Чи потрібно вимикати наш WAF або координуватися під час тестування?
Ми обговорюємо це на kick-off. Зазвичай ми або вносимо наші IP у білий список на WAF (щоб тестувати застосунок, а не ваш периметр), або тестуємо поведінку WAF явно — на ваш вибір. Якщо у вас є SOC, ми координуємося, щоб тестування не спричинило зайвого реагування на інцидент.
А якщо ви нічого не знайдете?
Рідкість — але якщо так стається, чистий результат від команди senior-рівня є показовим. Ви все одно отримуєте повний набір артефактів: звіт, що документує глибину тестування, застосовані методології та покриті компоненти — той самий артефакт, який потрібен вашим аудиторам і клієнтам.
Чи включене повторне тестування і чи є приховані платежі?
Ціна в пропозиції фіксована, у договорі, прив’язана до узгодженого скоупу. Повторне тестування після усунення включене — ми перевіряємо кожну знахідку проти початкової експлуатації та видаємо оновлений звіт і Сертифікат безпеки. Без оплати за кожну знахідку, без несподіваних рахунків. Ціна змінюється лише якщо ви розширюєте скоуп, узгоджений письмово заздалегідь.