Метод
Четыре шага. Без сюрпризов.
Каждый проект проходит одни и те же четыре шага, поэтому ещё до начала тестирования вы знаете, что будет происходить, что нужно от вас и что вы получите.
- 01 / 04
Скоуп и разрешение
Сначала разбираемся, что у вас работает и что вас беспокоит, а затем письменно согласуем, что именно будет протестировано.
Что происходит
- Разговор о ваших системах и целях
- Согласование целей, окон тестирования и правил работ
- Предложение по фиксированной цене
- Подписанное разрешение до начала любых действий
Что нужно от вас
- Список целей и окружений
- Одно техническое контактное лицо
- Тестовые учётные записи, если они нужны
Что вы получаете
- Письменный скоуп и правила работ
- Предложение по фиксированной цене
- Разрешение на подпись
- 02 / 04
Разведка
Изучаем поверхность атаки глазами постороннего и строим тестирование вокруг путей, которые с наибольшей вероятностью выбрал бы реальный злоумышленник.
Что происходит
- Карта доменов, поддоменов и открытых сервисов
- Анализ публичных данных и утечек
- Точки входа ранжируются по возможному ущербу
- План тестирования на основе реальных путей атаки
Что нужно от вас
- Ничего сверх согласованного доступа
Что вы получаете
- Уведомление о начале тестирования
- Прямую связь с тестировщиком
- 03 / 04
Эксплуатация
Ручное тестирование, чтобы подтвердить, что действительно эксплуатируется. Каждая находка доказана; одни лишь результаты сканеров в отчёт не попадают.
Что происходит
- Ручное тестирование в рамках согласованного скоупа
- Каждая находка подтверждается и документируется
- Никаких разрушительных действий без вашего согласия
- О критичных проблемах сообщаем сразу
Что нужно от вас
- Контактное лицо на связи во время тестирования
Что вы получаете
- Немедленное уведомление о критичных находках
- 04 / 04
Отчёт и повторная проверка
Отчёт для инженеров, которые исправляют, и руководителей, которые принимают решения, созвон с разбором и повторная проверка после исправлений.
Что происходит
- Отчёт с оценкой рисков и шагами воспроизведения
- Конкретные рекомендации по каждой находке
- Созвон с разбором для вашей команды
- Бесплатная повторная проверка после исправлений
Что нужно от вас
- Время на созвон с разбором
- Сообщение, когда исправления готовы к проверке
Что вы получаете
- Резюме для руководства и технический отчёт
- Созвон с разбором
- Перепроверку и обновлённый отчёт