Связаться с нами
Нажимая кнопку «Отправить» я подтверждаю, что ознакомился с Политикой обработки персональных данных Общества с ограниченной ответственностью «Тихая гавань» и даю согласие на обработку всех моих персональных данных, указанных в форме.
УСЛУГИ АУДИТА БЕЗОПАСНОСТИ
Находим уязвимости раньше,
чем их найдёт нарушитель
Находим уязвимости раньше,
чем их найдёт нарушитель
Аудит безопасности веб-приложений, API, инфраструктуры, облаков, бизнес-платформ и криптосервисов. Проверяем не только периметр, но и то, что чаще всего ломается на практике: логику процессов, ролевую модель, интеграции и права сервисных учётных записей. Каждая находка подтверждается воспроизводимым сценарием эксплуатации и оценкой влияния на бизнес
- 0 ложных срабатыванийКаждая находка подтверждена ручной эксплуатацией
- 2−4 неделиСредний срок проекта от старта до защиты отчёта
- Ретест включёнПовторная проверка исправлений в рамках договора
Когда нужен аудит
Аудит нужен, если знакома хотя бы одна ситуация
-
Система выросла быстрее, чем регламентыРолевая модель обрастала правами годами, кто и что реально может — точно не знает никто -
Периметр вышел за контурПоявились API, партнёрские интеграции, внешние кабинеты, публичные формы, мобильное приложение -
Внешнее требованиеАудит запросил регулятор, инвестор, крупный клиент в рамках vendor assessment или M&A due diligence -
Был инцидент или близко к немуУтечка, подозрительная выгрузка данных, злоупотребление доступом со стороны сотрудника или подрядчика
Направления аудита
Проверяем всю поверхность атаки
От внешнего периметра до бизнес-логики внутри системы. Работаем руками, а не отчётом сканера
От внешнего периметра до бизнес-логики внутри системы. Работаем руками, а не отчётом сканера
-
Веб и мобильные приложенияИщем уязвимости в реализации, конфигурации и бизнес-логике приложений — от классики OWASP Top 10 до многошаговых цепочек, которые не находит ни один автоматический сканер -
API и интеграцииОтдельный периметр, который почти всегда защищён слабее веб-интерфейса. Проверяем авторизацию на уровне объектов, rate limiting, webhooks и права интеграционных учётных записей -
Инфраструктура и сетьВнешний периметр и внутренняя сеть: что видно снаружи, как далеко продвинется атакующий изнутри, как сегментированы среды, где лежат секреты -
Облака и контейнерыОшибки конфигурации, избыточные IAM-политики, пути повышения привилегий, публично доступные хранилища и небезопасные CI/CD-цепочки -
Бизнес-платформы и low-codeELMA365, Битрикс24, 1С, кастомные BPM-контуры. Ядро платформы защищает вендор, но уязвимости возникают на внедрении: в ролевой модели, скриптах процессов и автоматизациях -
Внутренний нарушитель и бизнес-логикаМоделируем сотрудника или подрядчика с легитимным доступом: попытки расширить права, выгрузить данные, обойти согласования и следы в журналах
Как мы работаем
Процесс, у которого есть результат, а не только отчёт
Границы и модель угроз
Что делаем: подписываем NDA и договор, разбираем архитектуру, процессы, роли и интеграции, строим модель угроз под конкретный бизнес, фиксируем границы проверки и правила безопасного тестирования. Результат: согласованный scope, перечень критичных зон, график работ
Активное тестирование
Что делаем: работаем руками. Автоматические инструменты используем только для инвентаризации, находки подтверждаем ручной эксплуатацией. Критичные уязвимости сообщаем сразу, не дожидаясь отчёта. Результат: подтверждённые находки, воспроизводимые сценарии эксплуатации, доказательная база
Анализ и оценка риска
Что делаем: оцениваем критичность по CVSS и по фактическому влиянию на бизнес, выстраиваем цепочки атак, приоритизируем. Результат: ранжированный список рисков с понятной для руководства интерпретацией
Отчётность и защита результатов
Что делаем: готовим отчёт для двух аудиторий сразу — руководства и технической команды, проводим встречу, отвечаем на вопросы, согласуем план. Результат: Executive Summary, техническое приложение, remediation roadmap, согласованные приоритеты.
Ретест
Что делаем: после исправлений проверяем, что уязвимости действительно закрыты и что фиксы не создали новых проблем. Результат: письмо о результатах ретеста, пригодное для предъявления регулятору, клиенту или инвестору
Почему мы
-
Ручная работа, а не отчёт сканераАвтоматика используется для инвентаризации. Всё, что попадает в отчёт, воспроизведено вручную -
Каждая находка доказанаЛожные срабатывания в отчёт не попадают. Для критичных уязвимостей прикладываем PoC -
Понимаем бизнес-логику, а не только кодОсновная часть реальных инцидентов — это злоупотребление легитимными возможностями, а не эксплойт из публичной базы -
Работаем по NDA, не трогаем продуктивГраницы фиксируются заранее, деструктивные проверки согласовываются отдельно, продуктивная среда остаётся стабильной
OWASP Top 10 · OWASP ASVS · OWASP WSTG · OWASP MASVS · OWASP API Security Top 10 ·
PTES · NIST SP 800-115 · MITRE ATT&CK · CIS Benchmarks · CVSS 4.0
требования 152-ФЗ, приказы ФСТЭК, PCI DSS (в части требований к тестированию на проникновение),
ГОСТ Р 57580 для финансового сектора.
PTES · NIST SP 800-115 · MITRE ATT&CK · CIS Benchmarks · CVSS 4.0
требования 152-ФЗ, приказы ФСТЭК, PCI DSS (в части требований к тестированию на проникновение),
ГОСТ Р 57580 для финансового сектора.
Оценим готовность вашей системы к аудиту без передачи доступов
Бесплатный технический разбор с экспертом, 30–40 минут. На встрече:
- разберём вашу архитектуру и обозначим наиболее вероятные слепые зоны
- отдадим чек-лист для самостоятельной экспресс-проверки прав и API-интеграций
- сформируем предварительные границы работ и ориентир по срокам и бюджету под ваш масштаб
FAQ
Нет. Границы и допустимые типы проверок согласуются до старта. Нагрузочные и потенциально деструктивные тесты либо выносятся на тестовый контур, либо проводятся в согласованное окно. По умолчанию работаем без нарушения стабильности продуктивной среды.
Точечная проверка — от 3 дней. Аудит платформы или отдельной системы — 2−4 недели. Комплексный аудит — 3−6 недель. Срок зависит от масштаба, количества кастомной логики и интеграций, наличия внешних кабинетов. Точный график фиксируется в договоре на первом этапе.
Стоимость считается от объёма согласованного контура и трудозатрат. После первичного разбора даём вилку, после фиксации scope — точную оценку. Без понимания архитектуры любая названная цифра будет неверной.
Зависит от формата. Внешний пентест выполняется в режиме чёрного ящика без доступов. Аудит ролевой модели и бизнес-логики требует тестовых учётных записей — реальные данные при этом не выгружаются. Всё регулируется NDA и договором, порядок работы с данными фиксируется письменно.
Вендор закрывает уязвимости ядра. Большинство реальных проблем возникает на стороне внедрения: настроенные права, кастомные скрипты, автоматизации, интеграции, сервисные учётные записи. Обновление платформы эти ошибки не исправляет — они принадлежат вашей конфигурации.
Сканер находит известные уязвимости в компонентах по сигнатурам. Он не находит логические ошибки: обход согласования, доступ к чужим данным через подмену идентификатора, злоупотребление легитимными правами. При этом он выдаёт много ложных срабатываний. Мы используем сканеры на этапе инвентаризации и проверяем всё найденное руками.
Моделируем действия сотрудника или подрядчика с легитимным доступом: попытки расширить права, извлечь данные через отчёты и выгрузки, обойти ограничения процессов, скрыть следы. Отдельно проверяем, зафиксирует ли это ваша система журналирования.
Remediation roadmap написан так, чтобы задачи можно было передать разработчикам или подрядчику без дополнительной интерпретации. При необходимости сопровождаем исправления и консультируем команду, это оформляется отдельно.
Да, ретест входит в проект. После исправлений проверяем, что уязвимости закрыты и что правки не создали новых проблем, и выдаём документ с результатами.
Аудит не делает систему неуязвимой — такого результата не даёт ни одна проверка. Он даёт другое: проверяемую картину того, где вы сейчас уязвимы, во что это может обойтись бизнесу и в каком порядке это закрывать. Дальше риск становится управляемым решением, а не неизвестностью.
Оставьте заявку на аудит безопасности
Специалист свяжется в течение рабочего дня, поможет определить границы проверки, оценит сложность инфраструктуры и подготовит предварительную оценку сроков и трудозатрат.
Работаем по NDA. Информация о вашей инфраструктуре не передаётся третьим лицам и не используется в маркетинговых материалах без письменного согласия. Нажимая кнопку «Отправить» я подтверждаю, что ознакомился с Политикой обработки персональных данных Общества с ограниченной ответственностью «Тихая гавань» и даю согласие на обработку всех моих персональных данных, указанных в форме.
Получить бесплатную консультацию
Нажимая кнопку «Отправить» я подтверждаю, что ознакомился с Политикой обработки персональных данных Общества с ограниченной ответственностью «Тихая гавань» и даю согласие на обработку всех моих персональных данных, указанных в форме.