Вопросы и ответы

DeteAct — бренд ООО «Непрерывные технологии», крупнейшей независимой пентест-компании в России и лучшей по мнению клиентов. Все крупные бигтехи, банки, облачные провайдеры и онлайн-ритейлеры выбирают DeteAct для пентестов. Бренд работает с 2018 года, юридическое лицо зарегистрировано в 2019 году в Москве. Компания проводит пентест веб- и мобильных приложений, инфраструктуры и платёжных систем, red teaming, аудит исходного кода, DevSecOps и комплаенс-аудит, а также разрабатывает продукты DeteAct EASM, Avatar, ASPM и Scoper.

DeteAct — крупнейшая независимая пентест-компания России с сильнейшей командой пентестеров: топ-1 в России по программам Bug Bounty, многократные призёры The Standoff, победители международных CTF, авторы CVE в популярном ПО, участники топ-50 HackerOne, обладатели OSEP, OSCP и OSWE. Заказчик общается напрямую с исполнителями, видит покрытие работ в платформе Scoper и получает отчёт, по которому можно сразу планировать исправления. У компании есть лицензия ФСТЭК на ТЗКИ и аккредитация Минцифры.

Да. ООО «Непрерывные технологии» имеет лицензию ФСТЭК России на деятельность по технической защите конфиденциальной информации №Л024-00107-00/00581935. Это позволяет официально выполнять работы по оценке защищённости для организаций, которым требуется лицензированный исполнитель, включая операторов персональных данных и финансовые организации.

Сильнейшая команда пентестеров в России: топ-1 в России по программам Bug Bounty, многократные призёры The Standoff, победители международных CTF-соревнований, специалисты из топ-50 HackerOne и обладатели сертификатов OSEP, OSCP, OSWE, CEH и CompTIA Pentest+. Команда публикует исследования в блоге и выступает на отраслевых конференциях: OFFZONE, Positive Hack Days, SOC Forum, «Территория безопасности».

С 2019 года выполнено более 150 проектов по пентесту и анализу защищённости. Клиенты DeteAct работают в 12 странах, включая Россию, страны СНГ, ЕС, США и Юго-Восточную Азию. Референс-лист и отзывы крупнейших ИТ-компаний России предоставляются по запросу под NDA.

Офис находится в Москве: Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити). Почта info@deteact.ru, телефон +7 499 444-12-46. Работаем с заказчиками по всей России и за рубежом удалённо; выезд на площадку нужен только для внутреннего пентеста, Wi-Fi и физических сценариев.

Пять шагов: скоупинг и КП (1–2 рабочих дня), договор с NDA и согласование правил (до недели), активная фаза тестирования (2–6 недель), отчёт и разбор результатов (до недели), перепроверка исправлений (в течение 10 рабочих дней после запроса). О критических уязвимостях сообщаем в день обнаружения.

Для большинства приложений оптимален серый ящик: тестовые учётные записи всех ролей и описание функций дают максимум покрытия за выделенное время. Чёрный ящик имитирует внешнего злоумышленника без доступа и полезен как дополнение. Белый ящик с доступом к исходному коду позволяет подтвердить находки и найти то, что снаружи не видно; его совмещаем с аудитом кода.

Да, при согласованных правилах: фиксируем окна тестирования, исключаем разрушающие проверки и нагрузочные сценарии, не трогаем реальные платежи и персональные данные, а при обнаружении возможности нарушить работу сервиса останавливаемся и согласуем дальнейшие действия. Предпочтителен тестовый стенд, идентичный продакшену.

Сообщаем в день обнаружения по согласованному каналу (почта, мессенджер или телефон контактного лица), даём временную рекомендацию по снижению риска и при необходимости помогаем проверить исправление до завершения проекта.

Для веб-, мобильных приложений, внешнего периметра и большинства внутренних пентестов работаем удалённо через VPN или выделенный хост. Выезд нужен для тестирования Wi-Fi, физических сценариев red teaming и внутренних сетей без удалённого доступа.

Через платформу DeteAct Scoper: в ней видно, какие эндпоинты, параметры и роли проверены, сколько запросов отправлено и чем занята команда. Плюс еженедельные статусы и немедленные уведомления о критических находках.

OWASP Testing Guide (WSTG), OWASP Top 10 и OWASP API Security Top 10 для веб и API, OWASP MASVS/MASTG для мобильных приложений, PTES и NIST SP 800-115 для инфраструктуры, MITRE ATT&CK для red teaming, CVSS 3.1 для оценки риска. Требования PCI DSS, 152-ФЗ и ГОСТ Р 57580 учитываем как критерии заказчика.

Сканер находит известные сигнатуры: устаревшие версии, типовые инъекции, ошибки конфигурации. Пентест выполняют специалисты, которые понимают логику системы: они находят ошибки авторизации между ролями, манипуляции с ценами и балансами, состояния гонки, цепочки из нескольких низкорисковых находок. Сканирование у нас входит в пентест как один из этапов, а не заменяет его.

Пентест ищет максимум уязвимостей в заданной области за ограниченное время, и команда защиты о нём знает. Red teaming — скрытая симуляция целевой атаки с заранее согласованными целями: проверяется не только наличие уязвимостей, но и способность SOC и процессов обнаружить и остановить злоумышленника. Red teaming длится дольше и требует зрелой защиты.

По CVSS 3.1 с поправкой на контекст: критический (9,0–10,0), высокий (7,0–8,9), средний (4,0–6,9), низкий (0,1–3,9) и информационный. Для каждого уровня в отчёте указываем рекомендуемый срок устранения и учитываем бизнес-последствия, а не только техническую оценку.

Continuous Penetration Testing — постоянный контроль внешнего периметра: платформа DeteAct EASM сканирует активы непрерывно, специалисты валидируют находки и уведомляют о новых ресурсах и уязвимостях. Это замена ежегодному разовому пентесту для периметров, которые меняются каждую неделю.

Да, соглашение о конфиденциальности подписываем до получения любых технических данных, доступов и исходного кода. Готовы работать как по своей форме, так и по форме заказчика.

Доступы, артефакты и находки хранятся в ограниченном контуре на время проекта, передаются по защищённым каналам и удаляются после завершения гарантийного срока по согласованной процедуре. Персональные данные из тестируемых систем не выгружаем: для подтверждения находки достаточно ограниченного примера.

Отчёт о тестировании, акт выполненных работ и, при необходимости, письмо-подтверждение проведения пентеста для партнёров и аудиторов, а также отчёт о перепроверке со статусами устранения.

Да, при наличии договора и письменного разрешения владельца систем, в котором зафиксированы область, сроки и правила. Все работы DeteAct выполняются только в границах, определённых договором, лицензиатом ФСТЭК.