Права доступа выданы «на всякий случай»
У бывших сотрудников остались рабочие аккаунты, у подрядчиков — доступ к продакшену, у сервисных учёток — права администратора.
Аудит защищённости
Полная картина защищённости вместо догадок
Смотрим на систему целиком: приложение, серверы, доступы, интеграции и процессы. На выходе — понятная карта рисков и план работ, расставленный по приоритетам.
Или сразу: +7 (962) 368-39-51 Telegram
код
статический и ручной анализ
серверы
конфигурация и доступы
данные
персональные данные и 152-ФЗ
процессы
реакция, бэкапы, мониторинг
Где чаще всего находится слабое место
Мы редко видим одну большую дыру. Обычно это несколько средних проблем, которые вместе складываются в реальный риск.
Секреты лежат в коде и репозитории
Ключи API, пароли к базе и токены платёжных систем хранятся в конфигах в открытом виде и попадают в историю изменений.
Персональные данные без контроля
Непонятно, где и в каком виде хранятся данные клиентов, кто имеет к ним доступ и когда они удаляются по требованию.
Бэкапы есть, но восстановиться нельзя
Копии делаются, однако их никто не проверял: часть архивов повреждена, часть не восстанавливается на чистом сервере.
Инцидент заметят только клиенты
Логи пишутся, но никто их не смотрит. О взломе команда узнаёт из звонка пользователя или письма хостера.
Обновления откладываются месяцами
Фреймворк и зависимости не обновлялись год: в них накопились известные уязвимости, а обновление уже требует ручного разбора.
Что проверяем в аудите
Аудит можно взять целиком или только те блоки, которые сейчас актуальны.
Приложение и код
Разбираем, как приложение обрабатывает ввод, права и секреты.
- Обработка пользовательского ввода и защита от инъекций
- Проверка прав на сервере, а не только в интерфейсе
- Работа с файлами, загрузками и внешними запросами
- Анализ зависимостей и известных уязвимостей
Инфраструктура
Смотрим серверы, сеть и то, что доступно из интернета.
- Открытые порты и доступные извне сервисы
- Настройки TLS, веб-сервера и заголовков безопасности
- Разделение окружений: прод, стенд, локальная разработка
- Права сервисных учётных записей и доступ к базе
Доступы и процессы
Организационная часть, которая чаще всего и становится точкой входа.
- Актуальность учётных записей и прав
- Второй фактор для административных доступов
- Порядок выдачи и отзыва доступов, в том числе подрядчикам
- Хранение секретов и работа с переменными окружения
Данные и восстановление
Проверяем, что данные защищены и что бизнес переживёт аварию.
- Состав персональных данных и места их хранения
- Резервное копирование и реальная проверка восстановления
- Сроки хранения и порядок удаления по требованию
- Логирование действий и готовность к разбору инцидента
Как проходит аудит
Аудит не мешает разработке: сбор данных ведём параллельно, а находки сообщаем по мере обнаружения.
-
01 2–4 дня
Опрос и сбор данных
Уточняем архитектуру, состав сервисов и чувствительных данных. Получаем доступы к коду, конфигурациям и панелям.
-
02 1–3 недели
Проверка
Анализируем код, конфигурации и процессы. Подтверждаем гипотезы практическими проверками.
-
03 3–5 дней
Отчёт и приоритеты
Сводим находки в один документ с оценкой критичности, влияния на бизнес и рекомендациями по устранению.
-
04 по запросу
Сопровождение исправлений
Отвечаем на вопросы команды, помогаем с реализацией и проверяем, что закрытые находки не воспроизводятся.
Аудит безопасности и пентест — в чём разница
Пентест отвечает на вопрос «можно ли взломать». Аудит отвечает на вопрос «почему это возможно и что ещё не в порядке». Пентест даёт конкретный сценарий эксплуатации, аудит — системную картину: конфигурации, права, процессы, работа с данными, готовность к инциденту.
На практике их полезно сочетать. Аудит показывает слабые места в устройстве системы, пентест подтверждает, какие из них действительно эксплуатируются, и проверяет результат исправлений.
Что вы получите по итогам аудита
Итоговый документ состоит из трёх частей. Первая — сводка для руководства: общий уровень защищённости и главные риски с оценкой последствий. Вторая — технический перечень находок с указанием места в коде или конфигурации, уровня критичности и рекомендации. Третья — приоритизированный план работ с оценкой трудозатрат, чтобы исправления можно было поставить в спринты.
Такой формат позволяет не обсуждать абстрактные риски, а принимать решения: что закрываем в этом квартале, что переносим, а что осознанно принимаем как остаточный риск.
Как проходит работа с персональными данными
Отдельный блок аудита — проверка того, как приложение обрабатывает персональные данные: какие категории данных собираются, где хранятся, кто имеет к ним доступ, как долго хранятся и как удаляются. Это основа для соответствия 152-ФЗ и для ответов на запросы клиентов об удалении данных.
Мы фиксируем не только технические, но и организационные пробелы: отсутствие инвентаризации данных, доступ к базе продакшена у разработчиков, хранение выгрузок на рабочих машинах. Именно эти детали чаще всего проверяются в первую очередь.
Частые вопросы
Пентест ищет и подтверждает конкретные пути атаки — это точечная работа с приложением. Аудит оценивает систему целиком: код, инфраструктуру, права доступа, работу с данными и процессы. Если нужно понять общий уровень защищённости и получить план работ, начинайте с аудита; если требуется подтвердить защищённость перед запуском или по требованию партнёра, нужен пентест.
Для типового веб-приложения с инфраструктурой — от двух до четырёх недель. Срок зависит от размера кодовой базы, количества сервисов и полноты предоставленных доступов. Можно сократить объём до отдельных блоков, например только инфраструктура или только работа с персональными данными.
Да, и часто в первую очередь. Небольшие команды обычно хранят чувствительные данные и одновременно не имеют выделенного специалиста по безопасности, поэтому базовые проблемы — общие пароли, доступ к продакшену у всех разработчиков, отсутствие проверенных бэкапов — встречаются чаще, чем в крупных компаниях.
Мы работаем стандартными инструментами и передаём результаты в виде отчёта, не требуя покупки лицензий. Если нужно, оставляем рекомендации по внедрению сканирования зависимостей и контейнеров в ваш конвейер сборки, чтобы проверки выполнялись автоматически при каждом релизе.
Кибербезопасность: другие направления
Смежные задачи, которые обычно решаются в одном проекте с этой.
Проверим защищённость вашей системы
Расскажите об архитектуре — предложим состав аудита и сроки.