Что мы проверяем

Всё, что доступно атакующему снаружи и изнутри вашего периметра. Если у этого есть адрес, доступ или входная точка, у нас есть способ это проверить. Ниже четыре поверхности, на которых чаще всего и находится то, что годами оставалось в слепой зоне.

Мы не идём по формальному списку. Мы идём туда, куда пошёл бы тот, кто реально хочет попасть в вашу систему. Поэтому проверяем не то, как продукт должен работать, а то, что будет, если его начать ломать.

Web-приложения

Это первое, что видит внешний мир, и первое, что пробуют сломать. Мы проверяем логику авторизации и разграничения прав, обработку пользовательского ввода, работу с сессиями и доступ к чужим данным. Именно здесь живут самые дорогие ошибки, когда система верит пользователю на слово и отдаёт ему то, что он видеть не должен. Мы находим эти места раньше, чем их найдёт кто-то другой.

API и интеграции

У каждого современного продукта есть API, и почти у каждого есть тот, что считается внутренним. Мы проверяем, действительно ли он закрыт, или отвечает любому, кто знает адрес. Смотрим на проверку прав на каждом обращении, на доступ к чужим объектам, на то, что отдают служебные эндпоинты. Слово внутренний не защищает, защищает проверка на сервере, и мы показываем, есть ли она у вас на самом деле.

Инфраструктура

Серверы, доступы, конфигурации, периметр. Мы проверяем, нет ли забытых открытых сервисов, лишних прав, устаревших компонентов с известными уязвимостями и тестовых контуров, случайно смотрящих в интернет. Часто именно здесь, в одной незакрытой настройке, и проходит путь, которым в систему заходят без единого взлома. Мы находим эти пути и показываем, как их закрыть.

AI-слой

Если в вашем продукте есть языковая модель, у вас появилась новая поверхность атаки, которой вчера не было. Мы проверяем, можно ли подменить инструкции ассистента, вытащить через него чужие данные или использовать его как вход к смежным сервисам. Системный промпт это не граница безопасности, и мы показываем, что на самом деле отделяет постороннего от ваших данных.

Границы всегда за вами

Что бы мы ни проверяли, рамки согласуются с вами письменно до старта. Вы заранее знаете, что мы тестируем, что не трогаем и в каком окне проводим чувствительные действия. Мы работаем строго в оговорённых границах и не делаем ничего, что могло бы навредить вашему сервису или данным. Наша задача найти дыры, а не создать вам проблемы.

Первый шаг

Не уверены, какая из поверхностей у вас слабее всего? Это и есть повод начать. Бесплатная оценка защищённости показывает, где у вас тонко, и ни к чему вас не обязывает.