serechkaАудит, который находит проблемы
Проверяю безопасность сайтов, API, приложений и кода. Разбираю бинарники и файлы. Ищу, куда можно попасть извне, подтверждаю находки и объясняю, что исправить.
Масштаб проблемы
Цифры и риски, которые показывают, зачем проверять систему.
- 90%
- веб-атак в промышленности: автоматические сканеры
- 70%
- проектов пентеста получили права администратора доменаВ 7% не удалось повысить привилегии.
- 17 480
- новых CVE за октябрь 20261 372 критических и 5 914 высоких.
- 11,5 млн ₽
- средний ущерб от утечки в России
Одна из этих уязвимостей может быть в вашем продукте. Проверка показывает, есть ли она и что открывает.
Штраф до 15 млн ₽
Одна утечка персональных данных стоит от 3 до 15 млн ₽ штрафа.
Доступ ко всей системе
Одна уязвимость может открыть данные, админку или всю систему.
Нагрузка и простой
Одна уязвимость может нагрузить процессор и остановить сервис. Простой стоит клиентов и денег.
Восстановление данных
Восстановление после утечки или сбоя стоит дороже проверки.
Сергей, независимый специалист
Меня зовут Сергей. Провожу согласованные проверки безопасности: сайты, API, приложения, код, бинарники и файлы.
Вы общаетесь напрямую со специалистом, который проводит проверку и пишет отчёт.
Смотрю систему как атакующий: ищу цепочку, а не отдельные пункты чек-листа. Проверяю интерфейс, логику, доступ, данные и интеграции.
Продукт - это не только интерфейс
Интерфейс - только одна часть системы. Важны логика приложения, доступ, обработка данных, интеграции и конфигурация. Проверка смотрит на согласованный объём, а не только на то, что видно пользователю.
Интерфейс
Логика
Доступ
Данные
Интеграции
Что проверяется
Контроль доступа и роли
Кто и что может делать. Границы между пользователями и администраторами.
Аутентификация и сессии
Вход, восстановление доступа, срок жизни сессий.
Бизнес-логика
Правила, состояния и последовательности операций.
Обработка входных данных
Проверка данных на входе и корректная обработка ошибок.
Конфигурация приложения
Настройки, которые влияют на безопасность.
API и интеграции
Обмен данными с внешними системами в пределах согласованного объёма.
Анализ бинарников и файлов
Реверс-инжиниринг, анализ вредоносного кода, документы, архивы и прошивки.
Проблема редко выглядит как проблема
Сбой в одном слое редко остаётся локальным. Доступ, логика и данные связаны. Поэтому проверка смотрит на связи между компонентами, а не на отдельные экраны.
Доступ
Пользователь получает больше, чем предполагает роль.
Логика
Правило обходится последовательностью действий.
Данные
В ответе оказывается лишняя информация.
Сначала влияние на бизнес. Потом техническая деталь.
Как проходит работа
Последовательность фиксируется до начала. Работы начинаются только после согласования и письменного разрешения.
Обсуждение задачи
Уточняем продукт, границы и ожидания. Определяем, что важно проверить в первую очередь.
Объём, договор и разрешение
Фиксируем объекты, допустимые действия, сроки и порядок связи. Работы начинаются только после письменного разрешения.
Проверка в согласованных границах
Проверяю снаружи в согласованных границах. Анализ кода и тестовую среду согласуем отдельно.
Подтверждение проблем
Проверяю воспроизводимость и отделяю реальный риск от предположения.
Отчёт
Описываю проблему, влияние, доказательства, серьёзность и рекомендации.
Ретест
Если согласован отдельно: проверяю исправления и фиксирую результат.
Отчёт, с которым можно работать
В зависимости от согласованного объёма: резюме для руководителя, описание подтверждённой проблемы, затронутый компонент, условия, доказательства, оценка серьёзности и влияния, рекомендации и ограничения проверки.
SEC / DEMO / 01
- НаходкаЧто подтверждено
- ВлияниеЧто это меняет для бизнеса
- ДоказательстваШаги воспроизведения и артефакты
- СерьёзностьОценка с учётом контекста
- РекомендацияЧто исправить и как проверить
Резюме · Детали · Ограничения проверки
Условия работы
Работаю по договору. До начала фиксируем объём, разрешение и порядок работы. Оплата состоит из фиксированной части и выплат за подтверждённые находки.
Оплата за объём и находки
Фиксированная часть (предоплата) - за согласованный объём работ. Подтверждённые находки оплачиваются отдельно по ставкам из договора. Если находок нет, вы платите только фиксированную часть.
Разрешение
Проверка только с письменного разрешения владельца или уполномоченного лица.
Объём
Объекты, действия и сроки фиксируются до начала работ.
Факты
В отчёт попадают только подтверждённые находки.
Ограничения
Проверка снижает риск, но не обещает абсолютную защиту.
Коротко о главном
Расскажите, что нужно проверить
Сначала уточним задачу и возможный объём работ, затем согласуем условия.
Задача · продукт · желаемые сроки