Работилница за обхват
Бизнес цели, критични данни и какво значи „успех“ — фишинг да/не, приложения, сегментация.
Оторизиран · Рамкиран · Докладван · Проверен
Тестове за проникване
Покажете какво може оторизиран специалист — после го поправете.
Тестът за проникване е ангажимент с писмена оторизация и краен срок. Договаряме цели и правила, работим в тях и предаваме изпълнителен и технически доклад. Не публикуваме методи, които помагат на някого да атакува система.
Защо купувачи и одитори го искат
SOC 2, ISO 27001, PCI DSS и много застраховки очакват независим тест отвъд автоматичното сканиране. Пентестът отговаря на друг въпрос: при този обхват какво може да постигне професионалист и как да реагира ръководството?
Какво доставя CKS
Ясни правила на ангажимента
Активи в обхват, забранени системи, прозорци, спешни контакти и как постъпваме, ако попаднем в жив инцидент.
Договорена позиция
Черен, сив или бял тест — с колко информация започваме. Изборът е ваш и се записва преди работа.
Двуслоен доклад
Кратко за риска и бюджета. Техническо приложение за инженерите: засегнати активи, ефект и посока за корекция — без въоръжен детайл.
Проверка на отстраняването
Когато кажете, че находка е затворена, проверяваме отново тази находка. Одиторите гледат затварянето, не театъра.
Как вървим през работата
Професионалният тест е проект, не уикенд хоби. Повтаряем жизнен цикъл, за да са резултатите сравними година за година.
Оторизиран прозорец
Работа в договорения период срещу договорените цели. Без изненадващо сканиране на трети страни, които не контролирате.
Разбор
Разговор преди PDF-ът да отиде при борда. Контекстът тежи повече от цветовата схема.
Доказателства за GRC
Докладът е писан да стои до SOC 2, ISO или PCI без преводач.
Форма на ангажимента
1. Обхват и оторизация
Правно основание, контакти, ограничения и критерии за успех.
2. Тест
Работа в срока и правилата. Ежедневни проверки, ако ги искате.
3. Доклад
Изпълнителен и технически документ, подредени находки, насоки.
4. Валидация
Повторна проверка на договорените затваряния. Опционален следващ цикъл.
Какво носите на ръководството
- Защитим отговор на „тествани ли сме независимо?“
- Приоритизирана работа, която инженерството може да планира
- Следа от повторни проверки за одитори и застрахователи
- По-ясна история за клиенти, които искат кратко писмо
FAQ
- Ще споделяте ли експлойт код или сценарии за атака?
- Не. Докладите описват ефекта и как да се поправи. Не доставяме payload-и, proof-of-concept експлойти или процедури стъпка по стъпка.
- Може ли без смущение на продукцията?
- Планираме: прозорци, ограничения и стоп. Някои проверки носят остатъчен риск — казваме го в правилата.
- Вътрешен, външен или и двете?
- Каквото пише обхватът. Външният отговаря „от интернет“. Вътрешният — „от позиция, която ни помолихте да приемем“. И двете са чести в годишна програма.
- Законно ли е?
- Само с писмена оторизация от някой, който може да я даде. Без този документ не започваме.
Говорете с експерт днес
Покажете какво може оторизиран специалист — после го поправете.