Связаться с нами
Аудит безопасности ELMA365
Находим уязвимости раньше,
чем их найдёт нарушитель
Аудит безопасности ELMA365: роли и доступы, бизнес-процессы и BPMN-автоматизации, API и интеграции, внешние кабинеты, инфраструктура. Проверяем не только настройки, а и то, что чаще всего ломается на практике: логику процессов, ролевую модель, интеграции и права сервисных учётных записей. Каждая находка подтверждается воспроизводимым сценарием эксплуатации и оценкой влияния на бизнес
ОБСУДИТЬ ЗАДАЧУ
СКАЧАТЬ ПРИМЕР ОТЧЁТА
  • 0
    ЛОЖНЫХ СРАБАТЫВАНИЙ
    Каждая находка подтверждена ручной эксплуатацией
  • 2-4
    НЕДЕЛИ
    Средний срок проекта от старта до защиты отчёта
  • Ретест
    ВКЛЮЧЕН
    Повторная проверка исправлений в рамках договора
Аудит нужен, если знакома хотя бы одна ситуация
Права в приложениях разрослись
1
Права копились годами. Кто и что реально может видеть и менять в приложениях, документах, полях и отчётах, точно не знает никто
Данные доступны через внешние кабинеты
2
Клиенты, партнёры и подрядчики работают через внешние кабинеты и публичные формы. Что видно без авторизации и до чего можно добраться, неясно
BPMN-процессы и интеграции разрослись
3
Скрипты, обработчики и webhooks добавлялись по мере роста, права сервисных учётных записей давно не пересматривались
Подозрительные выгрузки из отчётов
4
Утечка или массовая выгрузка данных через списки и отчёты, злоупотребление доступом со стороны сотрудника или подрядчика
Направления аудита
Проверяем всю поверхность атаки
От внешних кабинетов и API до бизнес-логики внутри системы. Работаем руками, а не отчётом сканера
  • Роли и доступы к данным
    Ролевая модель, наследование прав, сценарии избыточного доступа. Доступ к приложениям, документам, отдельным полям и отчётам
  • API и интеграции
    Webhooks, service accounts, интеграционные сценарии. Проверяем права интеграционных учётных записей
  • Инфраструктура и сеть
    Серверы и сеть, на которых работает ELMA365: что видно снаружи, как далеко продвинется атакующий изнутри, как сегментированы среды, как связаны тестовые стенды и продуктив, где лежат секреты
  • Выгрузки и отчётность
    Массовый доступ через списки и экспорт
  • Бизнес-процессы и BPMN
    Обходы согласований и логических ограничений. Скрипты, обработчики, кастомная логика. Ядро платформы защищает вендор, но уязвимости возникают на внедрении
  • Внутренний нарушитель и бизнес-логика
    Моделируем сотрудника или подрядчика с легитимным доступом: попытки расширить права, выгрузить данные, обойти согласования и следы в журналах. Карточку не трогаем целиком
  • Внешние кабинеты
    Публичные формы и self-service интерфейсы
  • Сервисные учётные записи
    Токены, ключи, технические аккаунты, хранение секретов
  • Журналирование
    Логирование действий пользователей и интеграций. Способность службы ИБ заметить атаку
Выберите формат под свою задачу
Одна и та же методология, разный охват.
Ниже — что входит в каждый формат и что мы находим в проектах такого типа
Комплексный аудит ELMA365
Для кого и когда
Компаниям, у которых ELMA365 стала центральной системой: через неё проходят договоры, платежи, персональные данные, согласования. Особенно актуально при сложной матрице ролей, большом количестве кастомных процессов и подключённых внешних кабинетах. Типичный запрос — перед выходом на новый рынок, перед инвестраундом, после смены ИТ-подрядчика или после инцидента.

Почему это нужно, если платформу обновляет вендор: Вендор отвечает за безопасность ядра. Уязвимости появляются на этапе внедрения и кастомизации: в настроенной ролевой модели, в скриптах BPMN-процессов, в правах сервисных аккаунтов, в low-code автоматизациях. Обновление платформы эти ошибки не закрывает.
Что входит в scope:

  • Аудит ролей и доступов: ролевая модель, наследование прав, сценарии избыточного доступа
  • Контроль доступа к данным: приложения, документы, отдельные поля, отчёты
  • Проверка бизнес-процессов: обходы согласований и логических ограничений
  • Аудит BPMN и автоматизаций: скрипты, обработчики, кастомная логика
  • Проверка API и интеграций: webhooks, service accounts, интеграционные сценарии
  • Аудит внешних кабинетов: публичные формы, self-service интерфейсы
  • Контроль выгрузок и отчётности: массовый доступ через списки и экспорт
  • Проверка сервисных учётных записей: токены, ключи, технические аккаунты
  • Аудит журналирования: логирование действий пользователей и интеграций
  • Сценарий внутреннего нарушителя: злоупотребление легитимным доступом
Типовые находки
  •   КРИТИЧЕСКИЙ  
    Скрипт в BPMN-процессе выполняется от имени системного аккаунта и позволяет прочитать любой объект в обход прав
    •
    Внешний кабинет отдаёт данные по прямому изменению идентификатора в запросе
  •   ВЫСОКИЙ  
    Роль «Менеджер» через отчёт выгружает базу контрагентов целиком, включая закрытые поля
    •
    Согласование обходится изменением статуса через API без прохождения по маршруту
  •   СРЕДНИЙ  
    Действия интеграционных учётных записей не различаются в журнале — расследование инцидента невозможно
Мини-кейс
Контекст
1
Дистрибьютор, ELMA365 как основная система: сделки, договоры, взаиморасчёты. Около 40 кастомных процессов, портал для дилеров
Что нашли
2
Обработчик в процессе согласования скидки выполнялся с повышенными правами. Менеджер мог инициировать процесс, прервать его на нужном шаге и получить доступ к карточкам сделок других менеджеров, включая маржинальность
Чем грозило
3
Утечка коммерческих условий по всей клиентской базе при увольнении сотрудника
Что сделали
4
Переписали обработчик под ограниченный контекст, пересобрали ролевую модель по принципу минимальных прав, включили детальное журналирование операций с полями маржи
Точечные проверки
Для кого и когда
Когда нужен конкретный, ограниченный по объёму результат: проверить один релиз, закрыть требование регулятора, оценить систему перед покупкой, проверить исправления после предыдущего аудита. Быстрее, дешевле, с чётко зафиксированными границами.

Что можно взять отдельно
Типовые находки
  •   КРИТИЧЕСКИЙ  
    Внешний кабинет отдаёт данные по прямому изменению идентификатора в запросе
  •   ВЫСОКИЙ  
    Роль «Менеджер» через отчёт выгружает базу контрагентов целиком, включая закрытые поля
  •   СРЕДНИЙ  
    Ролевая модель содержит 14 учётных записей уволенных сотрудников с активными правами
Как мы работаем
Процесс, у которого есть результат, а не только отчёт
Границы и модель угроз
Что делаем: подписываем NDA и договор, разбираем процессы в вашей ELMA365: приложения, роли и права доступа, кастомные BPMN-процессы и скрипты, интеграции, внешние кабинеты и инфраструктуру, строим модель угроз под конкретный бизнес, фиксируем границы проверки и правила безопасного тестирования. От вас на этом шаге нужны схема ролей и приложений, список интеграций и внешних кабинетов и описание инфраструктуры.
Результат: согласованный scope, перечень критичных зон, график работ
Активное тестирование
Что делаем: работаем руками. Автоматические инструменты используем только для инвентаризации, находки подтверждаем ручной эксплуатацией. Для проверки ролей и бизнес-логики используем тестовые учётные записи: по одной на каждую ключевую роль, учётную запись внешнего кабинета и тестовую интеграционную учётную запись. Реальные данные не выгружаются. Критичные уязвимости сообщаем сразу, не дожидаясь отчёта.
Результат: подтверждённые находки, воспроизводимые сценарии эксплуатации, доказательная база
Анализ и оценка риска
Что делаем: оцениваем критичность по CVSS и по фактическому влиянию на бизнес, то есть на договоры, платежи, персональные данные и согласования в ELMA365, выстраиваем цепочки атак, приоритизируем.
Результат: ранжированный список рисков с понятной для руководства интерпретацией
Отчётность и защита результатов
Что делаем: готовим отчёт для двух аудиторий сразу — руководства и технической команды, проводим встречу, отвечаем на вопросы, согласуем план.
Результат: Executive Summary, техническое приложение, remediation roadmap, согласованные приоритеты.
Ретест
Что делаем: после исправлений проверяем, что уязвимости действительно закрыты и что фиксы не создали новых проблем.
Результат: письмо о результатах ретеста, пригодное для предъявления регулятору, клиенту или инвестору
Почему мы
  • Ручная работа, а не отчёт сканера
    Автоматика используется для инвентаризации. Всё, что попадает в отчёт, воспроизведено вручную
  • Каждая находка доказана
    Ложные срабатывания в отчёт не попадают.
    Для критичных уязвимостей прикладываем PoC
  • Понимаем бизнес-логику, а не только код
    Основная часть реальных инцидентов — это злоупотребление легитимными возможностями, а не эксплойт из публичной базы
  • Работаем по NDA, не трогаем продуктив
    Границы фиксируются заранее, деструктивные проверки согласовываются отдельно, продуктивная среда остаётся стабильной
Оценим готовность вашей системы
к аудиту без передачи доступов
Бесплатный технический разбор с экспертом,
30−40 минут. На встрече:
  • разберём вашу архитектуру и обозначим наиболее вероятные слепые зоны
  • отдадим чек-лист для самостоятельной экспресс-проверки прав и API-интеграций
  • сформируем предварительные границы работ и ориентир по срокам и бюджету под ваш масштаб
Доступы, выгрузки и любые данные систем для этого не нужны
ЗАБРОНИРОВАТЬ РАЗБОР
FAQ
Нет. Границы и допустимые типы проверок согласуются до старта. Нагрузочные и потенциально деструктивные тесты либо выносятся на тестовый контур, либо проводятся в согласованное окно. По умолчанию работаем без нарушения стабильности продуктивной среды.
Аудит не делает систему неуязвимой — такого результата не даёт ни одна проверка. Он даёт другое: проверяемую картину того, где вы сейчас уязвимы, во что это может обойтись бизнесу и в каком порядке это закрывать. Дальше риск становится управляемым решением, а не неизвестностью.
Оставьте заявку на аудит безопасности ELMA365
Специалист свяжется в течение рабочего дня, поможет определить границы проверки, оценит сложность инфраструктуры и подготовит предварительную оценку сроков и трудозатрат.
Есть внешние кабинеты и публичные формы
Есть API и внешние интеграции
Есть ли внешние требования (регулятор, клиент, инвестор)
Я согласен (а) на обработку персональных данных
Работаем по NDA. Информация о вашей инфраструктуре не передаётся третьим лицам и не используется в маркетинговых материалах без письменного согласия. Нажимая кнопку «Отправить» я подтверждаю, что ознакомился с Политикой обработки персональных данных Общества с ограниченной ответственностью «Тихая гавань» и даю согласие на обработку всех моих персональных данных, указанных в форме.