CVE / NVD и CVSS като вход, не като истина
Идентификаторите започват разговора. Добавяме дали услугата е достижима, има ли корекция и дали компенсиращи контроли вече намаляват риска.
Открий · Приоритизирай · Отстрани · Провери отново
Оценки на уязвимости
Находки, подредени по това, което нападател и одитор реално биха забелязали.
Оценката на уязвимости е структуриран преглед на системи, които ни оторизирате да изследваме. Получавате подреден списък, отговорници и опция за повторна проверка — не 400 страници от скенер.
Изходът от скенера не е програма
PCI DSS, SOC 2 и ISO 27001 очакват да намирате и третирате слабости по график. Да сипете CVSS 9.8 в тикети без контекст на актива хаби единствените хора, които могат да пачнат. Ние оценяваме, обясняваме и оставаме за проверка.
Какво получавате
Обхват и откриване
Договорени диапазони, облачни акаунти и приложения. Откриваме какво е живо, за да не е докладът ограничен до миналогодишната таблица.
С и без автентикация
Без автентикация е погледът от интернет. С автентикация се виждат пропуснати пачове и грешни настройки зад логина. Препоръчваме и двете, когато е безопасно и оторизирано.
Приоритизация
Експлоатируемост, експозиция и бизнес ефект върху CVSS. Системите с интернет и данни скачат напред в опашката.
Отговорници и повторна проверка
Всяка приета находка има собственик и срок. Повторната проверка потвърждава затваряне — това искат PCI и ISO.
Как се подравняваме с практиката
Използваме познати референции, за да съвпада езикът на доклада с това, което одиторите вече знаят.
OWASP за приложения
Когато в обхвата има уеб или API, структурираме находките така, че разработчиците да ги сложат в беклога.
CIS и базови линии за укрепване
Когато проблемът е конфигурация, сочиме базова линия — не мъгляво „укрепете сървъра“.
Ритъм за съответствие
Тримесечни или непрекъснати програми дават доказателствата, които PCI, SOC 2 и ISO очакват.
Форма на ангажимента
1. Правила и прозорци
Оторизация, контакти, замразяване на продукция и какво е забранено.
2. Оценка
Откриване, сканиране и ръчна проверка на шумни или критични резултати, за да не гоните призраци.
3. Доклад
Изпълнително резюме плюс технически детайл, подреден, с насоки за отстраняване.
4. Затваряне
Вие пачвате; ние проверяваме договорения набор. Опционален абонамент за следващия цикъл.
Как изглежда добре свършената работа
- Жив инвентар, не еднократен списък с IP
- Резюме за борда и приложение за инженерите
- Тикети според реален риск, не метрики на скенера
- Доказателство от повторна проверка за PCI, SOC 2 или ISO
FAQ
- Това тест за проникване ли е?
- Не. Оценката намира и подрежда слабости. Тестът за проникване преследва договорени цели с тези слабости, при по-строги правила. Много клиенти планират и двете годишно.
- Ще сканирате ли продукция?
- Само с писмена оторизация и прозорец. Първо обсъждаме натоварване, identичности и замразяване.
- Облак и on-prem заедно?
- Да. Хибридът е норма. Обхватът остава ясен: акаунти, абонаменти, VLAN, административни равнища на SaaS.
- Гарантирате ли нула критични?
- Никой честен оценител не го прави. Гарантираме ясна подредба, практично отстраняване и повторна проверка на заявеното като поправено.
Говорете с експерт днес
Находки, подредени по това, което нападател и одитор реално биха забелязали.