Ar į jūsų svetainę galima įsilaužti? Patikriname nemokamai.
Jei problemų nerandame, ataskaitą taip pat gaunate nemokamai. Už ataskaitą mokate tik tada, kai randame problemų, o jos kaina priklauso nuo to, kiek jų yra ir kiek jos rimtos. Svetaines, taikomąsias programas, infrastruktūrą, DI sistemas ir išmaniąsias sutartis testuojame taip, kaip tai darytų tikras užpuolikas.
Jūsų svetainės patikra nieko nekainuoja. Jei pažeidžiamumų nerandame, ataskaita taip pat nemokama. Už ataskaitą mokama tik tada, kai randame pažeidžiamumų, o jos kaina priklauso nuo jų skaičiaus ir pavojingumo.
01
Atsiunčiate adresą
Ir patvirtinate, kad svetainė yra jūsų. Prieš patikrą savininkas pasirašo leidimą, kuriame nurodyti adresas ir datos.
02
Patikriname svetainę
Iš išorės, taip, kaip ją mato užpuolikas, per 1–5 darbo dienas nuo leidimo pasirašymo. Be destruktyvių veiksmų ir neapkraunant serverio.
03
Gaunate rezultatą
Problemų nėra: nemokama ataskaita. Rasta problemų: jų skaičius, pavojingumas ir ataskaitos kaina. Ataskaitą gaunate iškart po apmokėjimo; pakartotinis testavimas po pataisymų – nemokamas.
Puolamasis saugumo testavimas yra paslauga tik tada, kai jam duotas leidimas. Šios taisyklės be išimčių galioja kiekvienam projektui ir kiekvienam „bug bounty“ pranešimui.
01
Pirmiausia – rašytinis leidimas
Testavimą pradedame, kai sistemų savininkas pasirašo leidimą ir apimtį. Patikriname, ar pasirašantis asmuo turi teisę pasirašyti.
02
Apimtis – tai riba
Liečiame tik tai, kas išvardyta, ir nieko daugiau. Trečiųjų šalių sistemas testuojame tik gavę jų operatoriaus sutikimą.
03
Tik oficialios programos
„Bug bounty“ srityje dirbame tik oficialiose programose pripažintose platformose ir paraidžiui laikomės kiekvienos programos politikos.
04
Įrodymai, o ne nuomonė
Apie radinį pranešame, kai jis jau atkurtas. Jame pateikiami įrodymai, poveikis, CVSS 4.0 vektorius ir šalinimo žingsniai.
05
Minimalus poveikis
Poveikį įrodome mažiausiai invaziniu veiksmu, neliečiame gamybinės aplinkos duomenų ir sustojame, kai įvyksta sustabdymo sąlyga.
06
Konfidencialumas pagal nutylėjimą
Radiniai priklauso klientui. Be rašytinio sutikimo niekas neatskleidžiama ir neskelbiama.
03Paslaugos
Ką testuojame
Nuo vienos žiniatinklio programos iki visapusiško priešininko imitavimo. Kiekviena paslauga turi apibrėžtą metodą, apibrėžtą rezultatą ir kainą, nustatytą prieš pradedant darbą.
„iOS“ ir „Android“ programėlių testavimas kartu su jų serverine dalimi: duomenų saugojimas, perdavimas, sąveika su platforma ir atsparumas modifikavimui.
„AWS“, „Azure“, „Google Cloud“ ir „Kubernetes“ aplinkų vertinimas: tapatybės, tinklo atvirumas, duomenų saugyklos ir keliai nuo įsitvirtinimo iki visiškos kontrolės.
Kontroliuojamos sukčiavimo el. paštu, telefonu ir žinutėmis kampanijos, kurios matuoja, kaip reaguoja žmonės ir procesai; rezultatai pateikiami pagal grupes, niekada pagal vardus.
Viešas kanalas ir veikiantis procesas pranešimams apie pažeidžiamumus iš išorės: politika, security.txt, pranešimų priėmimas, nagrinėjimas ir koordinuotas pažeidžiamumų atskleidimas.
Nuolatinė komanda, kuri testuoja kiekvieną reikšmingą pakeitimą ir pagal grafiką iš naujo tikrina perimetrą, užuot pateikusi vieną ataskaitą per metus.
Įsilaužimų testavimas, kurio apimtis nustatoma ir rezultatai dokumentuojami taip, kad tiktų kaip įrodymas pagal PCI DSS, SOC 2, ISO/IEC 27001, DORA ir NIS2.
Programos ir saugumo užtikrinimas
04Projekto eiga
Nuo užklausos iki patikrinto pataisymo
Kaip vyksta mokamas projektas. Kiekvienas žingsnis baigiasi dokumentu, kuris lieka jums.
01
Užklausa
Aprašote sistemas ir tikslą. Vadybininkas atsako per 1 darbo dieną.
Užklausos kodas
02
Apimties nustatymas
Suderiname objektus, išimtis, testavimo langus, paskyras ir kontaktus. Gaunate pasiūlymą su metodika ir fiksuota kaina.
Pasiūlymas
03
Leidimas
Pasirašome konfidencialumo sutartį (NDA), paslaugų sutartį ir rašytinį leidimą. Patikriname jūsų prieglobos ir debesijos paslaugų teikėjų testavimo politikas.
Rašytinis leidimas, testavimo taisyklės
04
Testavimas
Rankinis testavimas, padedant įrankiams. Apie kritinio ir didelio pavojingumo radinius pranešame per 24 valandas nuo patvirtinimo, nelaukdami galutinės ataskaitos.
Skubūs pranešimai apie radinius
05
Ataskaita ir rezultatų aptarimas
Santrauka vadovams, techninės detalės inžinieriams ir pokalbis, kuriame ataskaitą aptariame su vadovais ir inžinieriais.
Ataskaita
06
Pakartotinis testavimas
Kai pataisymai įdiegiami, kiekvieną radinį pakartotinai patikriname per 60 dienų nuo ataskaitos pateikimo ir išduodame patvirtinimo raštą.
Kaip atskiros silpnosios vietos žingsnis po žingsnio susijungia į sistemos kompromitavimą.
Šalinimo planas
Pataisymai, surikiuoti pagal tai, kiek rizikos jie pašalina ir kiek pastangų reikalauja.
Pakartotinio testavimo rezultatai
Kiekvieno radinio būsena po pataisymo ir patvirtinimo raštas.
06Bendradarbiavimo modeliai
Kaip galime dirbti kartu
Modelis priklauso nuo sistemos brandos ir nuo to, kaip dažnai išleidžiamos jos naujos versijos.
Nemokama svetainės patikra
Vienos svetainės patikra iš išorės. Dar nieko neišleidę sužinote, ar ją galima pažeisti dažnomis atakomis.
Tinka
Pirmas žvilgsnis į viešos svetainės saugumą.
Kaina
Nemokamai. Už ataskaitą mokama tik radus pažeidžiamumų; jos kaina priklauso nuo jų skaičiaus ir pavojingumo.
Fiksuotos apimties vertinimas
Apibrėžtas objektų rinkinys testuojamas vieną kartą, su ataskaita ir pakartotiniu testavimu.
Tinka
Naujos versijos, auditai, išsamus patikrinimas (angl. due diligence), atitikties terminai.
Kaina
Fiksuota kaina už suderintą apimtį.
Nuolatinis testavimas
Nuolatinė komanda testuoja kiekvieną reikšmingą pakeitimą ir pagal grafiką iš naujo tikrina perimetrą.
Tinka
Produktai, kurių naujos versijos išleidžiamos kas savaitę.
Kaina
Mėnesinis mokestis už suderintą testavimo apimtį.
Mokėjimas už rezultatą
Privati, laiko ribota mūsų komandos pažeidžiamumų paieška. Mokate už patvirtintus pažeidžiamumus pagal iš anksto suderintą atlygių lentelę.
Tinka
Brandžios sistemos, kurios jau buvo testuotos.
Kaina
Atlygis už kiekvieną patvirtintą radinį, neviršijant biudžeto ribos.
Programos valdymas
Sukuriame, paleidžiame ir valdome jūsų „bug bounty“ arba pažeidžiamumų atskleidimo programą: politiką, apimtį, pranešimų nagrinėjimą ir bendravimą su tyrėjais.
Tinka
Įmonės, kurios atsiveria išoriniams tyrėjams.
Kaina
Parengimo mokestis ir mėnesinis valdymo mokestis.
07Bug bounty
Platforma, kurioje už pažeidžiamumus mokama oficialiai
Savininkai skelbia programas ir nurodo atlygį. Tyrėjai praneša apie pažeidžiamumus per mus, o atlygį jiems išmokame mes. Patikriname savininką, išnagrinėjame kiekvieną pranešimą ir atsakome už pinigus.
Programa skelbiama tik tada, kai savininkas dokumentais patvirtina, kad sistema yra jo.
Atlygius nustato savininkas. Tyrėjas gauna visą atlygį.
Mūsų komisinis mokestis – 20 % kiekvieno atlygio, jį moka savininkas.
Kiekvienas pranešimas išnagrinėjamas, atkuriamas ir įvertinamas pagal CVSS 4.0 skalę.
Pranešimas lieka tarp tyrėjo, savininko ir mūsų.
08Standartai
Metodai, kuriuos galite patikrinti
Dirbame pagal viešus standartus, nurodome jų versiją ir susiejame su jais radinius. Laikytis standarto nėra tas pats, kas turėti jo sertifikatą: sertifikatas šioje svetainėje nurodomas tik kartu su nuoroda, kur jį galima patikrinti.
Taip. Pati patikra nieko nekainuoja, kaip ir ataskaita, jei pažeidžiamumų nerandame. Jei randame pažeidžiamumų, jų skaičių ir pavojingumą sužinote nemokamai ir sprendžiate, ar pirkti ataskaitą; jos kaina priklauso nuo radinių skaičiaus ir pavojingumo.
Ar įsilaužimų testavimas teisėtas?
Taip, jei sistemos savininkas tam davė rašytinį leidimą. Be leidimo tie patys veiksmai daugumoje jurisdikcijų yra nusikalstama veika. Todėl kiekvienas projektas prasideda rašytiniu leidimu ir apimtimi, o mes patikriname, ar pasirašantis asmuo turi teisę pasirašyti.
Kuo įsilaužimų testas skiriasi nuo „bug bounty“?
Įsilaužimų testas – tai laiko ribotas vertinimas, kurį pagal suderintą apimtį atlieka samdoma komanda; ataskaitoje aprašoma viskas, kas testuota. „Bug bounty“ – tai neterminuota programa, kurioje nepriklausomi tyrėjai gauna atlygį už pagrįstus radinius. Pirmasis suteikia saugumo užtikrinimą tam tikru momentu, antroji leidžia nuolat aptikti pažeidžiamumus. Brandžios organizacijos taiko abu būdus.
Ar testavimas sutrikdys gamybinės aplinkos veikimą?
Kas leidžiama, apibrėžia testavimo taisyklės: testavimo langai, užklausų dažnis, neleidžiamos technikos ir sustabdymo sąlygos. Paslaugos trikdymo (DoS) testų niekada neatliekame, nebent to paprašote raštu. Pastebėję nestabilumą, sustojame ir skambiname jūsų kontaktiniam asmeniui.
Kaip nustatoma kaina?
Pagal apimties dydį ir sudėtingumą, testavimo gylį ir suteiktą prieigą. Nustatę apimtį, pateikiame fiksuotą kainą; ji keičiasi tik pasikeitus apimčiai.
Kas nutinka mūsų duomenims?
Renkame tik tiek įrodymų, kiek reikia radiniui įrodyti. Darbinius duomenis saugome užšifruotus ir sunaikiname praėjus 30 dienų nuo projekto užbaigimo. Ataskaitas perduodame iš anksto suderintu saugiu kanalu.
Ar pasirašote NDA?
Taip. NDA pasirašome prieš jums pateikiant bet kokias detales apie savo sistemas.