Сайты и веб-приложения
Авторизация, сессии, разграничение ролей, формы, загрузка файлов, административные функции, обработка пользовательских данных и бизнес-логика приложения.
← На главную
ALETHEIA SECURITY · PENETRATION TESTING
Мы приходим ломать. С вашего письменного разрешения
У вас есть дверь. Это сайт, личный кабинет, почта сотрудников, склад, касса, удалённый доступ бухгалтера. Вы её закрыли и считаете, что надёжно.
Работаем только по договору, письменному разрешению владельца инфраструктуры и утверждённому Scope — перечню систем и разрешённых действий.
Согласованный Scope
Rules of Engagement
Технический отчёт
Рекомендации и ретест
Мы приходим и бьём в неё ногой
Не фигурально. Мы делаем ровно то, что сделал бы человек, который хочет вас ограбить: ищем, где не докрутили гайку, где остался старый пароль от уволившегося, где забыли снять тестовый доступ, где сотрудник открывает любое письмо. Пробуем войти. Пробуем поднять права. Пробуем дотянуться до данных, ради которых к вам и полезли бы.
Разница с настоящим взломом одна, и она принципиальная: у нас на руках ваше письменное разрешение, мы работаем в границах, которые вы сами очертили, и в конце отдаём вам всё найденное. А не продаём на форуме.
Может оказаться, что у вас там сейфОтлично: значит мы били весь день и не вошли — и вы узнаете это с доказательствами, а не по ощущениям. Это тоже результат, и он стоит своих денег. Вы перестаёте гадать.
А может — что дверь открывается с третьего пинкаТогда сильно лучше, чтобы это были мы. Список дыр, приоритет по риску и план, что закрывать первым. Через две недели приходим проверять снова.
Всё по договору, ничего лишнего
Взлом по заказу отличается от взлома тем, что каждый шаг согласован заранее.
- Договор до начала работ. Пока он не подписан, мы не трогаем ничего, кроме того, что и так видно всему интернету.
- Границы определяете вы. Что можно проверять, а что нельзя, в какие часы, до какой глубины. Хотите — только внешний контур. Хотите — с учётными записями изнутри, как если бы злоумышленник уже зашёл.
- Правила на время работ. Что делаем при обнаружении критической дыры, кому звоним ночью, где граница между «подтвердить риск» и «навредить». Договариваемся до, а не по ходу.
- Всё найденное — только вам. Ни в портфолио, ни в рассказах, ни через год.
Если в процессе выясняется, что дыра ведёт дальше согласованных границ, мы останавливаемся и спрашиваем. Даже когда очень хочется дойти до конца.
Найти — половина работы
Отчёт, в котором написано «у вас дыра», не стоит ничего. Дыру надо закрыть. Дальше развилка, и выбираете вы.
Закрываем самиБерём найденное и устраняем: правим конфигурации, закрываем доступы, чиним то, что чинится, и доводим защиту до состояния, в котором тем же путём войти уже нельзя. Потом проверяем повторно — своими же руками, тем же способом.
Закрываете самиОтдаём всё: что нашли, как это работает, чем это грозит бизнесу, что чинить первым, а что подождёт. В том виде, в котором ваш админ или подрядчик может взять и сделать. Без «обратитесь к нам за деталями».
Ретест после устранения входит в работу в обоих случаях. Нам важно не найти, а чтобы у вас перестало быть дырой.
Мы ломаем так, что у вас всё работает
Первое, что думает человек, когда слышит «взлом по заказу»: а они мне магазин не положат? В субботу, на пике заказов?
Нет. Мы не проверяем систему на падение — мы проверяем, можно ли в неё войти. Это разные вещи. Нагрузочные атаки и всё, что способно уронить сервис, в работу не входят вообще, и это прямо записано в договоре.
Границы, время работ и порядок действий согласуются до начала. Нашли что-то критическое — сообщаем сразу, не дожидаясь отчёта, и договариваемся, что делать: иногда правильно закрыть немедленно, иногда — не трогать до ночи.
Ваши клиенты не должны заметить, что вас в этот день проверяли. Обычно и не замечают.
Здесь нет чужих кейсов. И не будет.
Мы не рассказываем, что нашли у клиента. Ни с названием компании, ни «у одного интернет-магазина», ни через год, когда «уже неактуально». Рассказ о чужой уязвимости — это и есть её разглашение: по описанию систему узнают те, кому этого знать не нужно.
Поэтому в нашем портфолио пусто. Это не скромность и не отсутствие работы — это условие, на котором нас пускают внутрь.
Тот, кто показывает чужие дыры в презентации, однажды покажет и ваши.
Вместо кейсов мы показываем то, что можно показывать: как устроена методика, что написано в договоре и правилах проведения работ, из чего состоит отчёт и что происходит после него.
Мы начали с себя
В августе наш собственный AI-сотрудник получил попытку перехвата. Во внешнем материале, который он читал по работе, лежала инструкция, адресованная не человеку, а ему. Технически он мог её выполнить.
Это не теория и не чужой отчёт с конференции — это случилось у нас, и мы разбирали последствия сами. Что изменили после этого и делаем теперь в каждом внедрении:
Список допущенныхУ каждого AI-сотрудника закрытый перечень людей, которые могут им командовать. Посторонний в переписку не попадает.
Внешний текст — данные, а не приказСотрудник отличает распоряжение владельца от содержимого, которое он просто читает по работе.
Секреты отдельно от работыКлючи и токены лежат в отдельном хранилище с закрытым доступом, а не в переписке, не в коде и не в логах.
Каждый в своём контуреКаждый AI-сотрудник работает под отдельной учётной записью и не имеет доступа к данным других клиентов.
Деньги — только с подтверждением человекаДействия с деньгами и обязательствами сам он не выполняет: не покупает, не платит и не подписывает.
Сторож и скораяЗа каждым сотрудником следит автоматический надзор: упал, завис или потерял связь — поднимаем, обычно раньше, чем заметит владелец.
Закрытый периметр серверовНаружу открыто только то, что необходимо для работы.
Мы не продаём меры, которых не применяем у себя. Часть из них стоила нам переделки собственной инфраструктуры.
Бизнес видит интерфейс. Атакующий ищет путь внутрь.
Уязвимость редко выглядит как очевидная «дыра». Точкой входа может стать забытый поддомен, неверно настроенное API, избыточные права, открытая административная панель, устаревший компонент или цепочка из нескольких небольших ошибок.
Задача пентеста — не собрать длинный список предупреждений, а проверить, какие слабые места действительно можно связать в сценарий несанкционированного доступа, утечки данных или воздействия на бизнес-процесс.
Утечка клиентских данныхДоступ к анкетам, заказам, документам, контактам или истории взаимодействий.
Захват учётной записиПолучение прав пользователя, сотрудника или администратора через ошибки авторизации и управления сессиями.
Компрометация интеграцийИспользование API, webhooks, токенов или связей между сервисами как пути к данным и действиям внутри системы.
Нарушение работы бизнесаИзменение данных, злоупотребление бизнес-логикой, блокировка процессов или использование инфраструктуры в чужих целях.
Пентест — это не просто запуск сканера
Найдём уязвимости раньше, чем ими воспользуются — но для этого недостаточно прогнать автоматику. Penetration testing — контролируемая проверка безопасности, при которой команда исследует систему с позиции потенциального атакующего. Цель — определить, можно ли использовать технические и логические слабые места для доступа к данным, функциям или инфраструктуре, которые не должны быть доступны.
Автоматизированные инструменты помогают находить известные признаки риска. Ручная проверка нужна, чтобы анализировать бизнес-логику, права доступа, цепочки уязвимостей и отделять реальную проблему от ложного срабатывания.
Глубина проверки зависит от согласованного Scope, доступов и ограничений. Пентест снижает неопределённость, но не является обещанием абсолютной защищённости системы в будущем.
Сканирование и пентест решают разные задачи
| Автоматизированное сканирование | Пентест ALETHEIA Security |
|---|---|
| Ищет признаки известных проблем по шаблонам | Проверяет технические и логические сценарии с учётом конкретной системы |
| Может создавать ложные срабатывания | Находки проходят ручную проверку |
| Обычно рассматривает проблемы по отдельности | Анализирует возможные цепочки из нескольких слабых мест |
| Даёт технический список предупреждений | Показывает риск, возможное влияние и приоритет устранения |
| Не заменяет экспертную проверку | Использует автоматизацию как один из этапов работы |
Если клиенту нужен только базовый автоматизированный аудит, это оформляется как отдельная услуга и не называется полноценным пентестом.
Что можно включить в Scope
Набор объектов определяется до начала работ. В пентест включаются только системы, которые указаны в договоре и на проверку которых заказчик имеет право дать разрешение.
API и интеграции
Методы API, токены, webhooks, права доступа, передача данных между сервисами и возможность выполнять действия от имени другого пользователя или системы.
Внешняя инфраструктура
Домены, поддомены, публичные IP-адреса, открытые сервисы, панели управления, облачные ресурсы и другие элементы, доступные из интернета.
Учётные записи и доступы
Механизмы входа, MFA, восстановление доступа, роли, административные права, управление сессиями и потенциальные пути повышения привилегий.
Конфигурации и компоненты
Устаревшее программное обеспечение, небезопасные настройки, служебные файлы, резервные копии, тестовые среды и известные уязвимости компонентов.
AI-системы и AI-сотрудники
Доступ к данным и инструментам, разделение доверенных и внешних инструкций, журналы действий, хранение секретов, права агента и сценарии воздействия через внешнее содержимое.
Подбираем формат под задачу
Взгляд снаружи
Проверка с минимальной исходной информацией — максимально близко к позиции внешнего атакующего.
Тестовые учётные записи
Проверка с тестовыми учётными записями и ограниченным знанием архитектуры. Позволяет глубже проверить роли, права и бизнес-логику.
Полная картина
Проверка с расширенной технической информацией, документацией и при необходимости доступом к исходному коду. Подходит для наиболее глубокой оценки конкретной системы.
Формат, доступы и ограничения фиксируются до начала работ. Не каждый проект требует всех трёх подходов.
Пентест проходит в контролируемых границах
01
Предварительная оценка
Уточняем цель проверки, состав инфраструктуры, критичные бизнес-процессы и ожидаемый результат.
02
Поверхность атаки
Определяем доступные извне элементы контура и потенциальные точки входа в рамках согласованного Scope.
03
Автоматика и руки
Проверяем конфигурацию, доступы, бизнес-логику и возможные цепочки уязвимостей: инструментами и вручную.
04
Подтверждение риска
Подтверждаем влияние найденного только в допустимых границах. Разрушающие действия либо исключены, либо требуют отдельного письменного согласования.
Результат, с которым можно работать
Резюме для руководителя
Ключевые риски без лишней технической детализации: что может произойти, какие процессы и данные затронуты и что исправлять в первую очередь.
Технический отчёт
Описание каждой подтверждённой находки, затронутые компоненты, условия воспроизведения, подтверждающие материалы и рекомендации по устранению.
Приоритизация
Уровень критичности, вероятность эксплуатации, потенциальное влияние и рекомендуемая последовательность исправлений.
План устранения
Конкретные меры для разработчиков, системных администраторов и владельцев процессов.
Разбор результатов
Встреча с ответственными сотрудниками заказчика, ответы на вопросы и согласование дальнейших действий.
Ретест
Повторная проверка исправленных уязвимостей в объёме и сроки, установленные договором или пакетом услуги.
Что входит только по отдельному согласованию
Обычный технический Scope
Включается в договор на общих основаниях
- сайты и веб-приложения
- API
- домены и поддомены
- внешние сервисы
- административные панели
- механизмы авторизации
- роли и права пользователей
- интеграции
- публично доступная инфраструктура
- AI-приложения и агентные системы
Только отдельным приложением к договору
Требует дополнительных согласований и полномочий
- социальная инженерия
- phishing-симуляции
- проверка сотрудников
- внутренний корпоративный контур
- беспроводные сети
- физическая безопасность
- нагрузочное тестирование
- действия, способные повлиять на доступность или целостность данных
- проверка систем третьих лиц
Если система принадлежит внешнему провайдеру, подрядчику или партнёру, одного разрешения заказчика может быть недостаточно. Такие объекты включаются только после подтверждения полномочий и необходимых согласований.
Безопасность AI-сотрудников и AI-инфраструктуры
AI-сотрудник может читать документы, работать с почтой, обращаться к CRM, запускать автоматизации и использовать внешние инструменты. Поэтому риск находится не только внутри модели — он возникает на стыке данных, инструкций, интеграций, прав и действий.
Мы проверяем, какие данные доступны AI-системе, где хранятся секреты, какие действия агент может выполнять самостоятельно, как разделены доверенные команды и внешнее содержимое и можно ли ограничить последствия ошибочного или нежелательного действия.
Права по минимуму
AI-система получает только те доступы и действия, которые нужны для её функции.
Разделение доверия
Команды, пользовательские данные, внешние документы и содержимое сайтов не должны обрабатываться как равнозначные источники инструкций.
Контроль инструментов
Критичные действия требуют ограничений, подтверждения или отдельного канала авторизации.
Секреты и интеграции
API-ключи, токены, webhooks и сервисные учётные записи проверяются как часть общего контура.
Журналирование
Значимые действия должны оставлять проверяемый след: кто инициировал операцию, что было выполнено и с каким результатом.
Ограничение ущерба
Архитектура должна учитывать, что абсолютной защиты от всех классов атак не существует, и снижать возможный масштаб последствий.
После отчёта: устранение и постоянная защита
Пентест показывает состояние выбранных систем на момент проверки. После передачи отчёта ALETHEIA может отдельно помочь с устранением уязвимостей, настройкой защиты и регулярным контролем изменений.
- помощь в устранении подтверждённых уязвимостей
- настройка MFA и политик доступа
- обновление компонентов и конфигураций
- защита входа и фильтрация вредоносного трафика
- резервное копирование и проверка восстановления
- мониторинг доступности и событий безопасности
- регулярное сканирование и повторные проверки
- контроль изменений AI-интеграций и прав агентов
Устранение уязвимостей и сопровождение — отдельные работы. Они не включаются в пентест автоматически, если это прямо не зафиксировано в выбранном пакете или договоре.
Смотрим на всю цепочку, а не на сайт отдельно
ALETHEIA внедряет AI-сотрудников, автоматизацию, интеграции и управленческие системы. Поэтому при проверке безопасности мы учитываем связи между компонентами: сайт → API → CRM → документы → сотрудники → AI-системы → данные.
Такой подход особенно важен там, где одна система сама по себе настроена корректно, но риск возникает на стыке нескольких сервисов, прав и бизнес-процессов.
Что обычно спрашивают
Законно ли проводить пентест?
Мы начинаем работу только после заключения договора, получения письменного разрешения заказчика и утверждения Scope и Rules of Engagement. Проверяются исключительно согласованные системы и действия. Ресурсы третьих лиц не включаются без необходимых полномочий и разрешений.
Может ли проверка повлиять на работу системы?
Любое активное тестирование связано с остаточным риском. До начала работ мы согласуем ограничения, временные окна, резервные контакты и процедуру остановки. Нагрузочные, разрушающие и потенциально опасные действия исключаются либо оформляются отдельным письменным согласованием.
Вы гарантируете, что после пентеста систему нельзя будет взломать?
Нет. Пентест проверяет согласованный Scope в конкретный период и снижает неопределённость, но не создаёт абсолютной защиты. Инфраструктура, программное обеспечение и методы атак меняются, поэтому безопасность требует устранения находок и регулярного контроля.
Что если уязвимостей не найдут?
Клиент всё равно получает отчёт о проверенном Scope, применённых методах, ограничениях и результатах. Оплачивается работа по тестированию, а не количество найденных проблем.
Чем пентест отличается от аудита безопасности?
Аудит может включать анализ документов, настроек, процессов и соответствия требованиям. Пентест сфокусирован на практической проверке того, можно ли использовать слабые места в пределах разрешённого сценария. Конкретный состав услуги фиксируется до начала работ.
Нужно ли передавать пароли и исходный код?
Не всегда. Это зависит от выбранного формата: Black Box, Grey Box или White Box. Необходимые доступы и способ их безопасной передачи согласуются заранее.
Сколько занимает проверка?
Срок зависит от количества систем, ролей, API, интеграций, выбранной глубины и ограничений. Точный срок определяется после предварительной оценки Scope и фиксируется до начала работ.
Вы исправляете найденные проблемы?
Да, можем выполнить или сопровождать исправления отдельным этапом. Чтобы сохранить прозрачность результата, сам пентест, устранение уязвимостей и ретест фиксируются как разные этапы работ.
Можно проверить только AI-сотрудника?
Да. В этом случае Scope строится вокруг AI-приложения, его источников данных, инструментов, сервисных учётных записей, прав, секретов, журналов и связанных интеграций.
Сколько это стоит и сколько занимает
Фиксированного прайса нет, и это осознанно. Стоимость пентеста определяется периметром: у одной компании это сайт и кабинет, у другой — сайт, мобильное приложение, десяток интеграций и облако. Называть одну цену для обоих случаев значит либо обмануть первого, либо отказать второму.
Предварительная оценка — бесплатно. Мы смотрим, что у вас видно снаружи, и до начала работ называем объём, сроки и стоимость. Ни доступов, ни договора для этого не нужно — только ваше согласие и адрес.
Дальше — договор, согласованные границы и правила проведения работ. Ни одного действия за пределами того, что вы разрешили письменно.
Сроки зависят от объёма и называются вместе со стоимостью. Повторная проверка после устранения входит в работу — мы считаем её частью результата, а не отдельной услугой.
ПЕРВЫЙ ШАГ — ОПРЕДЕЛИТЬ ГРАНИЦЫ ПРОВЕРКИ
Узнайте, какие точки входа видны снаружи и что действительно создаёт риск для бизнеса
Опишите инфраструктуру и задачу. Мы предварительно определим возможный Scope, формат проверки, необходимые доступы, сроки и стоимость. Активное тестирование до договора и письменного разрешения не проводится.
Не отправляйте пароли, API-ключи и другие секреты через обычную форму заявки. Безопасный способ передачи доступов согласуем отдельно.
Оставить заявку на оценку
Заявка отправлена. Свяжемся с вами в течение рабочего дня.
Не удалось отправить — текст остался в полях. Попробуйте ещё раз или напишите на hello@aletheia-ai.ru либо в Telegram: ответим в течение рабочего дня.