Ви не впевнені, що насправді відкрито в інтернет.
Активи розгортаються, DNS-записи залишаються, сервіси поступово відкриваються. У вас є список активів — але немає впевненості, що він відповідає тому, до чого зловмисник має доступ просто зараз.
Ручне тестування на проникнення зовнішньої мережі
Senior-інженери атакують ваш зовнішній периметр так, як це зробив би справжній зловмисник — щоб знайти, що відкрито, довести, що можна проексплуатувати, і закрити шлях, перш ніж ним пройде хтось інший.
Нам довіряють
Знайома ситуація?
Команди розгортають сервіси, не повідомляючи безпеку.
Забутий staging-сервер, відкрита адмін-панель, залишений працювати dev-VPN. Небезпечний хост — зазвичай той, про який ніхто не пам’ятає, а підтвердити його доступність і можливість експлуатації — це ручна робота, а не рядок у звіті.
Ваш страховик хоче доказів, а не самооцінки.
Продовження чи новий поліс тепер залежать від доказів, що ваш периметр пройшов незалежне тестування. Вам потрібен справжній звіт про пентест, який приймають андеррайтери — а не ще одна анкета.
Клієнт оцінює вас як постачальника.
Їхня команда безпеки хоче незалежного тестування вашого зовнішнього периметра, перш ніж підписати чи продовжити угоду. Угода буксує, поки ви не надасте звіт, що витримає їхню перевірку.
Ви щойно успадкували чужий периметр.
Придбання чи злиття за одну ніч подвоїли вашу поверхню атаки — незнайомі хости, невідомі конфігурації, незадокументована експозиція. Вам треба знати, що прийшло з угодою, перш ніж зловмисник складе її карту за вас.
Ваш зовнішній скан повернувся «чистим».
Автоматичний скан позначає відсутні патчі та слабкий TLS — але не зв’язує неправильно налаштований сервіс у реальний доступ. Ви не знаєте, чи «чистий» звіт означає, що ви захищені, чи просто не просканований там, де це важливо.
Ціна бездіяльності
73%
зломів залучають зовнішніх суб’єктів — і більшість починається з єдиної слабкості, відкритої в інтернет: відкритий сервіс, слабкі облікові дані, непропатчений граничний пристрій.
~15 min
саме так швидко новий відкритий в інтернет сервіс зазвичай знаходить і прощупує автоматизоване сканування зловмисників.
1 host
і цього достатньо. Ваш периметр настільки міцний, наскільки міцний його найслабший доступний актив — а пропустити достатньо лише один.
Що саме тестувати
Глибоке ручне тестування усього, до чого зловмисник може дістатися ззовні — і усього, про доступність чого ви забули.
Black-box
Симуляція неавтентифікованого зовнішнього зловмисника, що починає лише з вашого домену чи діапазонів IP. Ми визначаємо, що доступно, перш ніж атакувати.
Grey-box
Та сама атака, прискорена. Ви ділитеся відомими активами, діапазонами та контекстом, тож ми витрачаємо проєкт на експлуатацію в глибину, а не на повторне визначення скоупу.
Класи вразливостей, які шукаємо
- Відкриті адмін-інтерфейси
- Стандартні та слабкі облікові дані
- Credential stuffing / password spraying
- Вади VPN-шлюзів
- Відкритий RDP
- Відкриті бази даних
- Експлуатація CVE на граничних пристроях
- Непропатчені сервіси периметра
- Неправильна конфігурація SSL/TLS
- Захоплення субдоменів
- Неправильна конфігурація DNS
- Слабкості SPF / DKIM / DMARC
- Зловживання mail relay
- Відкриті порти керування
- Незахищений віддалений доступ
- Неправильно налаштовані фаєрволи
- Відкрите хмарне сховище
- Відкриті API
- Витоки секретів / API-ключів
- Розкриття інформації
- Перелічення директорій і сервісів
- Обхід автентифікації
- Точки входу вебзастосунків
- Зв’язування відомих експлойтів
- Незахищені файлові ресурси
- Анонімний доступ
- Можливості горизонтального переміщення
- Внутрішній плацдарм із зовнішнього входу
- Вади логіки та контролю доступу у відкритих застосунках
Поверхня атаки до покриття
- Хости, доступні з інтернету
- Діапазони IP
- Вебсервери
- Вебзастосунки
- Публічні API
- VPN-шлюзи
- Портали віддаленого доступу
- Поштові сервери
- DNS-інфраструктура
- Субдомени
- Забуті / безхазяйні активи
- Відкриті staging- і dev-середовища
- Адмін-панелі
- Інтерфейси керування
- Фаєрволи та граничні пристрої
- Хмарні ендпоінти
- Бакети об’єктного сховища
- CDN / проксі-рівні
- Балансувальники навантаження
- Активи на сторонньому хостингу
- Сервіси, доступні ззовні
- Відкриті порти
- Мережевий периметр загалом
- Нещодавно придбані (M&A) активи
Що насправді означає ручне
Більшість роботи з безпеки зупиняється на виявленні вразливості. Для нас це лише відправна точка.
Не впевнені, що насправді відкрито на вашому периметрі? Складемо карту разом.
Senior-пентестер (а не менеджер з продажів) повернеться до вас із чесною оцінкою того, що справді варто тестувати.
Кейси
З реальних проєктів
Кілька проєктів, що показують, як виглядає робота з нами — у масштабі, роками, у різних галузях.
Виробництво · FMCG
Серія пентест-проєктів для глобальної food & beverage компанії, що працює у 120+ країнах.
Blackbox- і Greybox-тестування кількох ІТ-сервісів — гарантуємо високий захист для споживачів, працівників, підрядників та акціонерів, водночас задовольняючи вимоги compliance на рівні групи.
Читати кейс
B2B SaaS · LMS
Комплексний пентест вебзастосунку для підтримки сертифікації ISO 27001 корпоративної LMS-платформи.
Blackbox- і Greybox-тестування за OWASP — з повторним тестуванням після усунення та фінальним звітом, що підтвердив рівень безпеки для аудиту ISO 27001.
Читати кейсЩо ви отримаєте
П'ять артефактів — розрахованих на тих, хто справді ними користуватиметься: ваші інженери, ваш C-level, аудитори та Enterprise-клієнти.
Хочете побачити, як вони виглядають насправді?
Реальна структура, реальні знахідки, реальний формат. Саме ті документи, які побачить ваша команда й аудитори.
Терміновий проміжний звіт
Знайдемо Critical — дізнаєтеся того ж дня.
Якщо в процесі роботи ми виявимо вразливість рівня Critical, що потребує негайних дій, ви отримаєте сповіщення з кроками відтворення та рекомендаціями. Ми продовжуємо тестувати, ви паралельно починаєте усувати. Без очікування фінального звіту.
Для
вашої інженерної команди, вашого CTO
Технічний звіт
Пріоритизовані знахідки, з якими інженери можуть розпочати роботу того ж дня.
Кожна вразливість із кроками відтворення, PoC-експлуатацією, оцінкою бізнес-впливу та пріоритизованою дорожньою картою усунення. Без false-positive. Без зайвого. Зроблено так, щоб ваші розробники точно знали, що й у якому порядку виправляти.
Для
ваших інженерів, вашого CTO, вашої команди безпеки
Стислий звіт для керівництва
Те, що дійсно треба знати раді та інвесторам.
Звіт бізнес-мовою: security-postur вашого продукту, виявлені ризики, їхній потенційний бізнес-вплив і шлях усунення. Написаний для CEO, рад, інвесторів і Enterprise-закупівель — не для інженерів.
Для
вашого CEO, вашої ради, інвесторів, контрагентів M&A та ваших клієнтів
Звіт про повторне тестування
Перевірений доказ того, що виправлення працюють.
Після того як ваша команда усуне знахідки, ми перевіряємо кожну тим самим способом експлуатації, щоб підтвердити, що виправлення тримається. Оновлений звіт — ваш доказ того, що вразливості справді закрито, а не «закрито» на папері.
Для
ваших аудиторів, ваших Enterprise-клієнтів
Сертифікат безпеки
Публічний артефакт, який можна показати клієнтам і потенційним замовникам.
Після усунення та повторного тестування ми видаємо офіційний сертифікат, що підтверджує: продукт пройшов глибокий ручний пентест. Використовуйте його на сайті, в анкетах безпеки, у переговорах із Enterprise — це той документ, який хочуть бачити ваші потенційні клієнти та їхні закупівлі.
Для
вашого відділу продажу, маркетингу, потенційних Enterprise-клієнтів
Як ми досягаємо ваших цілей
Галузеві стандарти, виконані senior-інженерами.
Стандарти
Методології, яких дотримуємося
- OWASP
- PTES
- NIST SP 800-115
- MITRE ATT&CK
Вимоги compliance, які закриваємо
- SOC 2
- ISO 27001
- GDPR
- HIPAA
- PCI DSS
Принципи, на яких будуємо роботу
Ручний хакінг
Сканери — лише базовий рівень. Кожна знахідка зібрана та підтверджена senior-інженером — експлуатована й об'єднана в ланцюжки вручну, з урахуванням контексту вашої платформи.
Циклічно, а не лінійно
Кожна знахідка живить наступну. Новий доступ відкриває нову поверхню атаки. Ми повертаємося, копаємо глибше та вибудовуємо ланцюжки — поки не досягнемо максимального впливу, який дозволяє ваша архітектура.
Бізнес-вплив, а не список багів
Список CVE не каже, що атакуючий реально зробить із вашим бізнесом. Ми переводимо кожну знахідку в сценарій реального світу — що компрометується, хто що втрачає та як розгортається ланцюжок.
Лише senior-інженери
Жодних джунів, що вчаться на вашому продукті, жодного аутсорсу для підстраховки, жодної заміни інженерів посеред проєкту. Кожним проєктом керують senior-інженери наступальної безпеки з глибоким досвідом у B2B SaaS.
Якість важливіша за швидкість
Ми не конвеєр, оптимізований під пропускну здатність. Беремо менше проєктів одночасно й глибоко занурюємось у кожен — це свідомий вибір.
Не нашкодити
Усі тести відбуваються за підписаним Rules of Engagement. Дії з високим ризиком у продакшені заздалегідь узгоджуємо з вами. Critical-знахідки запускають негайне сповіщення — без сюрпризів і поламаних середовищ.
Застосовні знахідки, нуль false-positive
Кожна знахідка перевірена, пріоритизована та задокументована з кроками відтворення та рекомендаціями. Ваші інженери точно знають, що чинити першим — і не марнують день на шум.
Комунікація інженер–інженер
Прямий доступ до наших інженерів упродовж усього проєкту. Жодних посередників із продажів, жодних project-менеджерів, що фільтрують технічні деталі.
Хакінг як ремесло
Ми наймаємо інженерів, які хакають у вільний час — для рисерчу, для CTF, заради самого ремесла. Наша команда сприймає кожен проєкт як задачу, яку треба розв'язати, а не тікет, який треба закрити.
Від вашого першого повідомлення до фінального сертифіката
Структурований проєкт, побудований навколо вашої команди: senior-інженери, пряма комунікація, нуль сюрпризів.
-
Перша розмова
Що відбувається- Ви пишете нам — дзвінком, формою або email, як вам зручніше
- Відповідає senior-інженер (не sales-менеджер)
- Разом визначаємо цілі та скоуп проєкту
- Чесно говоримо, чи підходимо ми вам і що реально варто тестувати
Ви отримуєте Чітку відповідь щодо напрямку — і чи підходимо ми одне одному — до підписання чого-небудь. -
Скоуп і комерційна пропозиція
Що відбувається- Технічна сесія з вашою командою, щоб зрозуміти архітектуру, ролі та поверхню застосунку
- Проводимо вас по зразку звіту, щоб ви точно знали, як виглядають артефакти
- Ви отримуєте детальну комерційну пропозицію: скоуп, підхід, терміни, ціна
Ви отримуєте Повну пропозицію та зразок звіту, які можна показати вашим CTO, CISO, CEO й закупівлям перед ухваленням рішення. -
Kick-off
Що відбувається- Підписано контракт і NDA
- Підписано Rules of Engagement — чіткі межі: що тестуємо, коли і як
- Видача доступів і передача документації
- На проєкт призначається senior-інженерна команда та проводиться її бриф
Ви отримуєте Підписаний контракт, документ Rules of Engagement, підсумок kick-off-зустрічі. -
Розвідка та моделювання загроз
Що відбувається- Пасивний збір інформації за вашою публічною поверхнею
- Картування архітектури — як побудований застосунок і де зони найбільшого ризику
- Модель загроз: що варто атакувати та як реально підходитиме до вашого продукту атакуючий
- На час проєкту піднімається прямий канал інженер–інженер
Ви отримуєте Якщо на цьому етапі виринає щось термінове — повідомляємо негайно. В іншому ж — цей етап прямо живить подальші тести. -
Активна експлуатація
Що відбувається- Ручний хакінг, пошук та експлуатація вразливостей
- Складання ланцюжків атак з кількох знахідок
- Оцінка впливу для кожної знахідки перед експлуатацією в продакшені
- Постійний цикл: кожен новий доступ відкриває нову поверхню, ми йдемо глибше
Ви отримуєте Якщо знаходимо критичний шлях атаки, який легко експлуатувати та потребує негайних дій, ви отримуєте Терміновий проміжний звіт — сповіщення з кроками відтворення та рекомендованою відповіддю. Ми продовжуємо тестувати, ви починаєте усувати паралельно. -
Передача основного звіту
Що відбувається- Знахідки консолідовано, перевірено та задокументовано
- Підготовлено Технічний звіт і Стислий звіт для керівництва
- Дорожню карту усунення пріоритизовано
Ви отримуєте Технічний звіт (для ваших інженерів) і Стислий звіт для керівництва (для ради, Enterprise-клієнтів та аудиторів). -
Дебриф
Що відбувається- Розбір знахідок із вашою інженерною командою
- Розбір бізнес-впливу з вашим керівництвом
- Q&A щодо пріоритетів усунення — що чинити першим і чому
Ви отримуєте Пріоритизовану дорожню карту усунення та прямі відповіді на питання вашої команди. -
Супровід усунення
Що відбувається- Підтримка ваших розробників упродовж усього циклу виправлень
- Роз'яснення векторів атак і підходів до усунення
- Темп задає ваша команда — ми не підганяємо й не затягуємо
Ви отримуєте Технічний супровід під час усунення в межах вашого проєкту. -
Повторне тестування та фінальний сертифікат
Що відбувається- Кожна усунена знахідка повторно перевіряється тим самим способом експлуатації
- Перевіряємо, що виправлення дійсно тримає — не «полагоджено» на папері
- Видаються оновлені звіти та сертифікат безпеки
Ви отримуєте Звіт про повторне тестування, оновлений Технічний звіт і ваш Сертифікат безпеки.
Визнані галуззю
Топові рейтинги на галузевих платформах
Сертифікації наших інженерів
Їхніми власними словами
XRAY CyberSecurity надали комплексний, добре структурований звіт із практичними рекомендаціями щодо посилення безпеки нашого застосунку. Ми отримали два звіти — детальний Технічний та окремий для керівництва — що дало змогу швидко презентувати результати топ-менеджменту та скласти план дій. Готовність напряму спілкуватися з нашими підрядниками суттєво пришвидшила усунення.
XRAY CyberSecurity провели пентест наших продуктів, побудованих на різних технологіях. Ми виявили вразливості, усунули їх та отримали підтвердження через повторне тестування, що їх закрито. Спілкування з командою радше нагадувало роботу з колегами, ніж зі стороннім підрядником — професіонали, експерти, дали цінні поради.
XRAY CyberSecurity провели grey-box пентест за методологією OWASP. Їхній ретельний ручний аналіз виявив вразливості, що заслуговують уваги, а детальні технічний та executive-звіти — з подальшим повторним тестуванням, що підтвердило усунення — дали нам змогу пройти сертифікацію за ISO 27001.
XRAY CyberSecurity провели ретельну оцінку наших веб-застосунків і хмарних середовищ, моделюючи сценарії реальних атак. Детальні звіти містили зрозумілі, застосовні висновки, які суттєво покращили нашу security-postur, а вміння доносити складні знахідки в простій формі було неоціненним для нашої команди.
Роботу виконано швидко та професійно. Фахівці XRAY CyberSecurity вказали на наші вразливі місця, що дало нам змогу покращити якість ПЗ. Ми отримали звіт із детальними сценаріями проникнення та технічними й організаційними рекомендаціями щодо усунення й запобігання.
5/5 на Clutch
читати всі відгуки
Готові тестувати ваш периметр?
Поширені запитання
Як ви визначаєте периметр — ми надаємо список чи ви знаходите його самі?
І те, й інше. Якщо у вас є інвентаризація активів, ми починаємо з неї, але не вважаємо її повною — пошук забутих і тіньових активів є частиною роботи. Найнебезпечніший хост — зазвичай той, якого немає у вашому списку, і ми повідомляємо про розширення скоупу як про окрему знахідку.
Чим це відрізняється від сканування вразливостей?
Скан каже, що сервіс потенційно вразливий; ми доводимо, чи можна його справді проексплуатувати і що це дає зловмиснику. Ми зв’язуємо неправильну конфігурацію на одному хості в доступ до іншого — роботу, яку сканер виконати не може. Ви отримуєте проексплуатовані шляхи та бізнес-вплив, а не список CVE для самостійного розбору.
Чи вплине тестування на наше продакшн-середовище?
Ні, і це закладено за задумом. Кожен проєкт виконується за підписаними Правилами проведення (Rules of Engagement), що визначають, що саме й як ми тестуємо. Дії з високим ризиком — усе, що може вплинути на доступність робочого сервісу — узгоджуються та виконуються лише з вашого явного дозволу.
Чи спрацюють політики зловживань вашого хмарного провайдера або ISP?
Ми враховуємо це заздалегідь. Для великих хмарних платформ ми дотримуємося їхніх правил тестування і, де потрібно, узгоджуємо авторизацію перед тестуванням розміщених активів. Ми не ставитимемо ваш акаунт чи хостинг під ризик заради тесту.
Як ви забезпечуєте конфіденційність, наші дані та юридичну відповідальність?
Кожен проєкт починається з підписаного NDA та договору з повною корпоративною відповідальністю. Знахідки та будь-які отримані дані зберігаються зашифрованими, доступні лише призначеним інженерам і видаляються після завершення проєкту згідно з періодом зберігання у вашому договорі. Ми маємо страхування професійної відповідальності — якщо щось піде не так, є компанія, з якої можна спитати.
Чи варто координуватися з нашою командою SOC / моніторингу під час тестування?
На ваш розсуд. Ми можемо працювати «потайки», щоб перевірити, чи виявить нас ваша команда, або узгодити сповіщення, щоб тестування не спричинило зайвого реагування на інцидент. Ми обговорюємо це на kick-off і адаптуємося до того, що ви хочете виміряти.
Скільки зусиль це вимагає від нашої команди?
Менше, ніж більшість очікує. Налаштування зосереджене в перші дні — узгодження скоупу, діапазонів та авторизацій. Далі ваша участь — це нечасті уточнювальні запитання. Реальні витрати часу з вашого боку — під час усунення, яке відбувається за вашим графіком.
А якщо ви не знайдете шляху всередину?
Це рідкість, але буває — і чистий результат від команди senior-рівня є показовим. Ви все одно отримуєте повний набір артефактів: звіт, що документує глибину тестування, застосовану методологію та кожен покритий актив — той самий артефакт, який потрібен вашому страховику, аудитору чи клієнту.
Чи є приховані платежі? Чи включене повторне тестування?
Ціна в пропозиції — це ціна, яку ви платите — фіксована, у договорі, прив’язана до узгодженого скоупу. Повторне тестування після усунення включене, з оновленим звітом і Сертифікатом безпеки. Єдине, що змінює ціну — це розширення скоупу під час проєкту, і будь-яку зміну ми узгоджуємо письмово до початку робіт.