Услуги

DeteAct — крупнейшая независимая пентест-компания в России, лучшая по мнению клиентов. Проводим тестирование на проникновение, анализ защищённости приложений и инфраструктуры, red teaming, аудит исходного кода, строим процессы безопасной разработки и готовим организации к проверкам регуляторов. Работы выполняют сертифицированные исследователи по методологиям OWASP, PTES и NIST SP 800-115; компания имеет лицензию ФСТЭК России на ТЗКИ №Л024-00107-00/00581935.

Получить расчёт Методология

Общие условия для всех услуг

Исполнители: Специалисты с OSEP, OSCP, OSWE, CEH, Pentest+; победители международных CTF, участники топ-50 HackerOne
Стоимость: Фиксируется по результатам скоупинга; предложение за 1–2 рабочих дня
Конфиденциальность: NDA до получения любых данных, согласованные правила и окна работ
Результат: Отчёт с резюме для руководства, находками по CVSS, PoC и планом устранения; разбор с командой
Перепроверка: Одна контрольная перепроверка включена, в течение 10 рабочих дней после запроса

Инфраструктура и люди

Проверки, в которых объектом является организация: её сети, периметр, беспроводные сети, устойчивость к нагрузке и сотрудники.

Тестирование на проникновение
Сроки
2–6 недель
Результат
Отчёт с PoC и планом устранения, перепроверка
Комплексное тестирование на проникновение внешней и внутренней инфраструктуры, веб- и мобильных приложений, платёжных систем. Ручная работа сертифицированных специалистов, отчёт с PoC и рекомендациями, бесплатная перепроверка.
Подробнее
Red Teaming (киберучения)
Сроки
от 6 недель
Результат
Хронология атаки, оценка детектирования, рекомендации
Киберучения по методологии MITRE ATT&CK: скрытое проникновение в организацию через внешний периметр, фишинг и физический доступ, проверка способности SOC обнаружить и остановить атаку.
Подробнее
Социотехническое тестирование
Сроки
2–4 недели
Результат
Статистика по сотрудникам, рекомендации по обучению
Фишинг, вишинг и другие сценарии социальной инженерии по согласованному плану; статистика по сотрудникам и рекомендации по обучению.
Подробнее
Пентест Wi-Fi
Сроки
1–2 недели
Результат
Отчёт по сетям и клиентам, выход в корпоративную сеть
Атаки на корпоративные и гостевые беспроводные сети: WPA2/WPA3-Enterprise, PEAP/EAP, Evil Twin, атаки на клиентов, сегментацию и выход в корпоративную сеть.
Подробнее
Нагрузочное DDoS-тестирование
Сроки
1–2 недели
Результат
Статистика атак, оценка anti-DDoS, узкие места
Распределённые атаки на канальном и прикладном уровне с согласованной мощностью, проверка эффективности anti-DDoS и слабых мест приложений.
Подробнее

Приложения и код

Проверки конкретного продукта: веб-приложения и API, мобильные клиенты, исходный код. Покрытие фиксируется в платформе Scoper.

Пентест веб-приложений и API
Сроки
2–4 недели
Результат
Отчёт по OWASP WSTG с CVSS и PoC, покрытие в Scoper
Ручной и инструментальный анализ веб-приложений и API: инъекции, ошибки авторизации, бизнес-логика, криптография. Методология OWASP WSTG, отчёт с CVSS и PoC, перепроверка исправлений.
Подробнее
Пентест мобильных приложений
Сроки
2–3 недели на платформу
Результат
Отчёт по OWASP MASVS по клиенту и API
Анализ клиентской части iOS и Android по OWASP MASVS/MASTG, обратная разработка, хранение данных, защита канала, серверные API.
Подробнее
Аудит безопасности исходного кода
Сроки
1–3 недели, крупная база от 4
Результат
Подтверждённые дефекты кода с рекомендациями
SAST, SCA и ручной taint-анализ исходного кода с подтверждением эксплуатируемости находок и рекомендациями по исправлению.
Подробнее

Процессы и соответствие

Не проект, а процесс: непрерывный контроль периметра, безопасность в разработке, соответствие требованиям регуляторов.

Непрерывный пентест (CPT)
Сроки
подписка
Результат
Валидированные находки, уведомления о новых активах
Continuous Penetration Testing: непрерывное сканирование внешнего периметра платформой DeteAct EASM, валидация находок пентестерами, уведомления о новых активах и уязвимостях.
Подробнее
DevSecOps и безопасная разработка
Сроки
от 1 месяца
Результат
Сканеры в CI/CD, процесс SSDLC, платформа ASPM
Построение процесса безопасной разработки (SSDLC): внедрение сканеров в CI/CD, платформа ASPM, обучение команд, сопровождение процесса.
Подробнее
Комплаенс и соответствие требованиям
Сроки
2–8 недель
Результат
Заключение и отчёт для регулятора или аудитора
Оценка соответствия и подготовка к проверкам: 152-ФЗ, 187-ФЗ, ГОСТ Р 57580, PCI DSS, требования ЦБ РФ и ФСТЭК; лицензия ФСТЭК на ТЗКИ.
Подробнее

Как выбрать услугу

Если задача не описана ниже или подходит несколько строк, напишите нам: состав работ определяется на скоупинге, а не по прайс-листу.

Задача	Подходящая услуга
Нужен ежегодный пентест по требованиям ЦБ РФ, PCI DSS или ГОСТ Р 57580	Пентест + Комплаенс
Выпускаете новое веб-приложение или API	Пентест веб-приложений
Выпускаете или обновляете мобильное приложение	Пентест мобильных приложений
Хотите узнать, остановит ли SOC реальную атаку	Red Teaming
Сотрудники — главная точка входа, нужна проверка фишингом	Социальная инженерия
Есть исходный код и нужно найти то, что снаружи не видно	Аудит кода
Внешний периметр меняется еженедельно, разовый пентест устаревает	Непрерывный пентест
Разработка выпускает релизы быстрее, чем ИБ успевает проверять	DevSecOps
Впереди распродажа или пиковая нагрузка	DDoS-тестирование
Офисные и гостевые сети, точки присутствия	Пентест Wi-Fi

Продукты, которые используем в услугах

Непрерывный пентест работает на платформе EASM, покрытие пентеста фиксирует Scoper, DevSecOps опирается на ASPM.

Вопросы о выборе услуг

С какой услуги начать, если пентест заказывается впервые?

Чаще всего с пентеста внешнего периметра и основного веб-приложения в формате «серый ящик»: это даёт максимум подтверждённых рисков за выделенное время. Если есть требования регулятора, состав определяется ими. На первом звонке мы помогаем сформулировать объект и модель нарушителя и за один-два рабочих дня готовим предложение с фиксированной стоимостью.

Чем пентест отличается от сканирования уязвимостей и от red teaming?

Сканирование находит известные сигнатуры и входит в пентест как один из этапов. Пентест — ручная работа специалистов по заданному объекту с подтверждением находок эксплуатацией. Red teaming — скрытая симуляция целевой атаки на организацию в целом, проверяющая не только уязвимости, но и способность SOC обнаружить и остановить атакующего.

Как формируется стоимость услуг?

Стоимость фиксируется до начала работ по результатам скоупинга и зависит от размера и сложности объекта, модели тестирования и требований к отчётности. Коммерческое предложение с составом работ, сроками и ценой готовим за один-два рабочих дня.

Какие методологии и стандарты используете?

OWASP Testing Guide (WSTG); OWASP Top 10 и OWASP API Security Top 10; OWASP MASVS / MASTG для мобильных приложений; PTES (Penetration Testing Execution Standard); NIST SP 800-115; MITRE ATT&CK для red teaming; CVSS 3.1 для оценки уровня риска; PCI DSS, 152-ФЗ, ГОСТ Р 57580 как требования заказчиков. Подробное описание этапов, структуры отчёта и классификации рисков приведено на странице «Методология».

Можно ли объединить несколько услуг в один проект?

Да, и для большинства заказчиков это оптимально: например, пентест веб-приложения и мобильного клиента с общими API, или пентест инфраструктуры с социотехническим тестированием. Для крупных компаний предлагаем рамочные соглашения и подписку: непрерывный пентест, аутсорс Red Team и AppSec.

Получить расчёт

Опишите объект и задачу. В течение одного-двух рабочих дней мы уточним границы работ, предложим состав услуг и назовём фиксированную стоимость и сроки.

Почта: info@deteact.ru
Телефон: +7 499 444-12-46
Офис: Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
Лицензия: ФСТЭК России №Л024-00107-00/00581935

Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.