DeteAct

Показываем, как именно вас взломают. И что исправить первым.

DeteAct — крупнейшая независимая пентест-компания в России и лучшая по мнению клиентов. Все крупные бигтехи, банки, облачные провайдеры и онлайн-ритейлеры выбирают нас для тестирования на проникновение, анализа защищённости приложений и red teaming. Лицензия ФСТЭК, бренд на рынке с 2018 года, более 150 проектов.

Получить расчётКак проходит пентест
  • Крупнейшая независимая пентест-компания России, сильнейшая команда пентестеров
  • Топ-1 в России в программах Bug Bounty, многократные призёры The Standoff, победители CTF
  • Авторы CVE в популярном ПО по результатам ручных исследований — ещё до эпохи ИИ-инструментов
  • Лицензия ФСТЭК России на ТЗКИ №Л024-00107-00/00581935
Отчёт о тестировании на проникновениеРаздел 4. Цепочка атаки
  1. 1
    СреднийЗабытый поддомен staging на внешнем периметре

    Инвентаризация активов выявила тестовый контур с устаревшей версией API без ограничения частоты запросов.

  2. 2
    ВысокийТокен интеграции в JavaScript-бандле

    Секрет в клиентском коде даёт доступ к внутреннему API документооборота от имени сервисной учётной записи.

  3. 3
    КритическийSSRF во внутреннем API, доступ к метаданным облака

    Через загрузчик документов получены временные ключи облачного аккаунта с правами на хранилище резервных копий.

  4. 4
    КритическийРезервная копия БД с персональными данными клиентов

    Цель сценария достигнута на третий рабочий день. Рекомендации по каждому звену цепочки — в разделе 6 отчёта.

Находок
14, из них критических 3
Время до пробива
3 рабочих дня
Перепроверка
Включена, 10 дней
Пример из практики, детали обезличены и изменены.
2018
бренд DeteAct на рынке; юрлицо с 2019 года
150+
проектов по пентесту и анализу защищённости
12
стран, в которых работают наши клиенты
Топ-1
в России по программам Bug Bounty; топ-50 HackerOne в мире

Три направления работы

Разовый проект, непрерывный контроль периметра или перестройка процесса разработки: выбор зависит от того, где сейчас самый большой риск. Поможем определить это на первом звонке.

Пентест и анализ защищённости

Внешняя и внутренняя инфраструктура, Active Directory, веб- и мобильные приложения, API, платёжные системы. Ручная работа по OWASP WSTG и PTES, отчёт с PoC и перепроверка исправлений.

Подробнее

Сильнейшая и крупнейшая независимая команда пентестеров в России

Бренд DeteAct на рынке с 2018 года, и с первого дня компания продаёт только то, что делает сама: исследователи, а не отдел продаж. Авторы CVE в популярном ПО по результатам ручных исследований — ещё до эпохи ИИ-инструментов. На звонке и в проекте вы говорите с теми, кто будет искать уязвимости.

Разборы наших проектов в разделе исследований

Уровень специалистов подтверждён публично

Топ-1 в России по программам Bug Bounty, многократные призёры The Standoff, победители международных CTF, участники топ-50 HackerOne, сертификаты OSEP, OSCP, OSWE, CEH и Pentest+. Публикуем исследования и выступаем на OFFZONE, PHDays и SOC Forum.

Покрытие тестирования видно заказчику

Платформа Scoper показывает, какие эндпоинты и функции проверены и сколько запросов отправлено. Отсутствие находок подтверждается работой, а не словами.

Отчёт, с которым можно работать

Каждая находка содержит шаги воспроизведения, PoC, оценку по CVSS и конкретную рекомендацию. Резюме для руководства отделено от технической части.

Официальный статус для регуляторов

Лицензия ФСТЭК России на ТЗКИ №Л024-00107-00/00581935, аккредитация Минцифры, продукты в Реестре российского ПО. Результаты принимают аудиторы по ГОСТ Р 57580 и PCI DSS.

Как проходит проект

Сроки указаны для типового проекта; для крупных периметров и red teaming они согласуются отдельно. О критических уязвимостях сообщаем немедленно, не дожидаясь отчёта.
  1. 01

    Скоупинг

    1–2 рабочих дня

    Уточняем объект, роли, модель нарушителя и ограничения. Для веб-приложения достаточно доступа к стенду и описания функций; для инфраструктуры — диапазонов адресов и схемы сегментации. Готовим КП с фиксированной стоимостью.

  2. 02

    Договор, NDA и согласование правил

    до 1 недели

    Подписываем соглашение о конфиденциальности, фиксируем окна тестирования, запрещённые действия, контакты для экстренной связи и порядок уведомления о критических находках.

  3. 03

    Активная фаза тестирования

    2–6 недель

    Разведка, инструментальное сканирование, ручной поиск и эксплуатация уязвимостей, построение цепочек атак. Критические находки сообщаем в день обнаружения. Ход работ виден в платформе Scoper.

  4. 04

    Отчёт и разбор результатов

    до 1 недели

    Передаём отчёт с резюме для руководства, полным перечнем находок, уровнями риска по CVSS, PoC и приоритизированными рекомендациями. Проводим встречу с разработчиками и ИБ-командой.

  5. 05

    Перепроверка исправлений

    10 рабочих дней после запроса

    Подтверждаем устранение уязвимостей и выдаём обновлённый отчёт. Одна перепроверка включена в стоимость; дальнейший контроль возможен в формате непрерывного пентеста.

Продукты DeteAct

Платформы, выросшие из многолетней практики пентеста: единственный в России EASM, созданный командой пентестеров, и первая в России система автономного пентеста ИИ-агентами. Используем их в проектах и поставляем заказчикам, в том числе on-premise.
DeteAct EASM
Управление внешней поверхностью атаки

Единственная в России платформа EASM, созданная настоящей командой пентестеров на основе многолетнего опыта: инвентаризация внешних активов, более 20 модулей сканирования, ИИ-триаж находок, упор на практическую защищённость, а не только на требования регуляторов. Включена в Реестр российского ПО.

DeteAct Avatar
Первая в России система автономного пентеста ИИ-агентами

Первая и единственная в России система автономного тестирования на проникновение ИИ-агентами: агенты исследуют цель, проверяют гипотезы и формируют реестр находок с CVSS и PoC под контролем экспертов.

DeteAct ASPM
Application Security Posture Management

Платформа оркестрации сканеров безопасности в CI/CD: агрегация результатов SAST/DAST/SCA, дедупликация, приоритизация и контроль исправления.

DeteAct Scoper
Прозрачность пентеста (PTaaS)

Платформа контроля покрытия пентеста: заказчик видит протестированные эндпоинты, активность специалистов и статистику в реальном времени.

Отраслевой опыт

Модель угроз зависит от отрасли, поэтому состав проверок и сценарии атак подбираем под неё.

Вопросы и ответы

Короткие ответы на вопросы, которые задают перед первым проектом. Подробнее о стоимости и сроках на отдельной странице.
Чем DeteAct отличается от других пентест-компаний?
DeteAct — крупнейшая независимая пентест-компания России с сильнейшей командой пентестеров: топ-1 в России по программам Bug Bounty, многократные призёры The Standoff, победители международных CTF, участники топ-50 HackerOne, обладатели OSEP, OSCP и OSWE. Заказчик общается напрямую с исполнителями, видит покрытие работ в платформе Scoper и получает отчёт, по которому можно сразу планировать исправления. У компании есть лицензия ФСТЭК на ТЗКИ и аккредитация Минцифры.
Сколько стоит пентест и от чего зависит цена?
Стоимость фиксируется до начала работ по результатам скоупинга и зависит от размера и сложности объекта: количества приложений, API-методов и ролей, числа хостов, модели тестирования (чёрный, серый или белый ящик) и требований к отчётности. Коммерческое предложение с составом работ, сроками и ценой готовим за один-два рабочих дня.
Сколько длится тестирование на проникновение?
Пентест одного веб-приложения или мобильного приложения обычно занимает от двух до четырёх недель, внешней или внутренней инфраструктуры — от двух до шести недель, red teaming — от шести недель. Отчёт передаётся в течение недели после завершения активной фазы.
Что входит в отчёт по результатам пентеста?
Резюме для руководства с оценкой уровня защищённости, описание области и методики, модель нарушителя, перечень всех находок с уровнем риска по CVSS, шагами воспроизведения и доказательствами (PoC), приоритизированные рекомендации по устранению и статистика. При необходимости готовим приложение для регуляторов и аудиторов.
Проводите ли вы повторную проверку после исправлений?
Да. Одна контрольная перепроверка исправленных уязвимостей входит в стоимость и выполняется в течение десяти рабочих дней после запроса заказчика в рамках гарантийного срока.
Можно ли заказать пентест для соответствия 152-ФЗ, ГОСТ Р 57580 или PCI DSS?
Да. Мы проводим тестирование в объёме, который требуют ГОСТ Р 57580, положения ЦБ РФ, PCI DSS и требования ФСТЭК к защите персональных данных, и оформляем результаты так, чтобы их приняли аудиторы и регуляторы. Лицензия ФСТЭК на техническую защиту конфиденциальной информации позволяет выполнять такие работы официально.
Все вопросы и ответы

Получить расчёт

Опишите объект и задачу. В течение одного-двух рабочих дней мы уточним границы работ, предложим состав услуг и назовём фиксированную стоимость и сроки.

Почта
info@deteact.ru
Телефон
+7 499 444-12-46
Офис
Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
Лицензия
ФСТЭК России №Л024-00107-00/00581935
Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.