8 800 201-20-70Звонок бесплатный
Контакты it_law_security Поиск
RTM Group » Услуги » Информационная безопасность » Пентест сайта и веб-приложений

Пентест сайта и веб-приложений

Мы предлагаем:

  • Анализ защищенности клиентских и серверных приложений, API;
  • Тестирование методом белого и черного ящика;
  • Анализ уязвимостей инфраструктуры функционирования WEB-приложения.

Почему мы:

  • Нашими экспертами проведено более 500 исследований программного обеспечения;
  • Исследования основывается как на ГОСТ/ISO 15408, так и на лучших практиках;
  • Более 10 дипломированных специалистов, осуществляющих деятельность под лицензиями ФСТЭК и ФСБ.

Важно:

Работы проводятся без деструктивного воздействия. Эксплуатация уязвимостей строго по согласованию с Заказчиком.

Пентест сайта и веб-приложений - услуги RTM Group
Пентест сайта и веб-приложений - от RTM Group
Узнать стоимость?
Перейти

Эксперты по пентесту сайта и веб-приложений

Эксперт по пентесту сайта и веб-приложений Музалевский Федор Александрович

Музалевский Федор Александрович

Ведущий эксперт компьютерно-технического направления

Опыт: Экспертная работа с 2010 года. Педагогический стаж с 2012 года. Кандидат физико-математических наук. Доцент кафедры ВМ и ИТ ФГБОУ ВО “ВГУИТ”

Профиль >>

Все эксперты
Эксперт по пентесту сайта и веб-приложений Перминов Геннадий Вадимович

Перминов Геннадий Вадимович

Эксперт в сфере информационной безопасности

Опыт: Экспертная работа и педагогический стаж с 2008 года

Профиль >>

Все эксперты

Для чего нужен пентест сайта

Процедура анализа уязвимостей (пентеста или тестирования на проникновение) имитирует хакерскую атаку и дает возможность выявить слабые места сайта.

Пентест сайта позволяет:

  1. Обнаружить ошибки программирования;
  2. Программные закладки;
  3. Уязвимые компоненты сайта;
  4. Ошибки в настройках серверного оборудования, операционной системы и сторонних приложениях хостинга.

Методика тестирования на проникновение сайта

Пентест сайта. Объект тестирования

Проведение анализа уязвимости сайта возможно как с включенными средствами защиты (например WAF), так и без них. Тестированию подвергают как инфраструктуру, на которой функционирует сайт, так и само WEB-приложение.

Пентест сайта. Уязвимости и атаки

При этом учитываются не только OWASP TOP-10 уязвимостей, но и менее распространенные способы атак, включая ручной экспертный анализ исходного кода.

Проведение пентеста сайта

Тестирование по желанию Заказчика может проводиться как по “черному ящику” – когда предоставлен только адрес сайта, так и по “белому” – когда имеется административный доступ к серверу и/или панели управления сайтом. Возможен комбинированный вариант – “серый ящик”, когда предоставлена учетная запись пользователя сайта.

При тестировании применяются такие сканеры как OWASP ZAP, NESSUS, наборы средств реализации атак уровня METASPLOIT и собственные разработки наших экспертов.

Важно!

В соответствии с Постановлением Правительства РФ от 3 февраля 2012 г. N 79 “О лицензировании деятельности по технической защите конфиденциальной информации” тестирование на проникновение является лицензируемым видом деятельности и проводить пентест имеют право только организации имеющие лицензию ФСТЭК на ТЗКИ.

Почему RTM Group

С учетом изложенных выше нюансов, компания RTM Group предлагает наиболее сбалансированный и экономный подход к проведению пентестов – позволяющий не только выявить уязвимости, но и повысить уровень защиты. Мы предлагаем различные виды теста на проникновение, включая внутренний и внешний пентест, социальную инженерию, RED Team.

Мы обладаем лицензиями:

  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты

Лицензии RTM Group

 

Заказать пентест сайта или веб-приложения

Для уточнения стоимости и сроков звоните или пишите нам:

Тел: 8 800 201-20-70 (Звонок по России бесплатный)
email: info@rtmtech.ru




Оглавление:

1 Для чего нужен пентест сайта2  Методика анализа уязвимостей сайта3  Почему RTM Group4  Заказать пентест сайта5  Стоимость пентеста сайта


Видео по пентесту сайта и веб-приложений

Почему RTM Group

RTM Group экспертная организация №1 по версии Федерального каталога экспертных организаций

В списке SWIFT Directory of CSP assessment providers

В реестре надежных партнеров торгово-промышленной палаты Российской Федерации

Полноправный член «Ассоциации пользователей стандартов по информационной безопасности» (АБИСС)

Входим в рейтинг «Pravo.ru-300» в отрасли Цифровая экономика

Сайт RTM Group входит в тройку лучших юридических сайтов России

В составе ТК №122

Цены на услуги по пентесту сайта и веб-приложений

Обратите внимание!
Компания работает с юридическими лицами, ИП и бюджетными организациями по безналичному расчету.
Работа с физическими лицами временно не осуществляется.

Наименование услуги Стоимость

Консультация

Бесплатно

Пентест сайта

Срок – от 5 рабочих дней

от 200 000 руб.

Пентест web-приложения

Срок – от 5 рабочих дней

от 200 000 руб.

Работаем с юридическими лицами, ИП и бюджетными организациями по безналичному расчету.
Работа с физическими лицами временно не осуществляется.

Наши преимущества

Без сбоев в работе

Мы работаем без нарушения функционирования информационной инфраструктуры Заказчика

821-П, 683-П, 757-П, 802-П, Пентест, ОУД4 и пр.

Специализируемся на всех вариантах аудитов ИБ финансовых организаций по требованиям Центрального банка

2800+ аудитов и экспертиз

Эксперты обладают одновременно опытом ИТ-аудитов и судебных компьютерных экспертиз

Наши отзывы по пентесту сайта и веб-приложений

Отзыв о RTM Group от Леонида
03.03.2020
Заказывал в компании пентест. Эксперты сработали профессионально. Предоставили подробный отчёт и даже дали рекомендации по устранению уязвимостей. Сервисом очень доволен.

Услуги для вас

Услуга Независимая экспертиза сайта

Независимая экспертиза сайта

— Экспертиза сайта для суда
— Анализ ТЗ на разработку сайта
— Оценка стоимости сайта
— Итог и выводы
Услуга Фиксация и заверение содержимого интернет-страниц

Фиксация и заверение содержимого интернет-страниц

— Фиксация веб-страниц (сайта): зачем и как работает
— Разница между нотариальным и экспертным заверением
— Для чего может понадобиться экспертиза сайта?
— Протокол осмотра интернет-сайта
— Осмотр сайта - цена и сроки
Услуга Пентест — услуги тестирования на проникновение и анализа уязвимостей

Пентест — услуги тестирования на проникновение и анализа уязвимостей

- Что следует учесть при выполнении требования Банка России по проведению пентеста на ежегодной основе?
- Пример технического задания на проведение пентеста по 683-П, 821-П, 757-П
- Почему RTM Group?
- Цена проведения пентеста
Услуга Анализ защищенности программного обеспечения

Анализ защищенности программного обеспечения

— Как правильно анализ кода, аудит ПО или тестирование?
— Аудит методом «белого ящика»
— Анализ методом «серого ящика»
— Анализ методом «черного ящика»
— Что входит в аудит?
— Где заказать аудит кода?
Услуга 152‑ФЗ «О персональных данных»: Аудит на соответствие ПДн

152‑ФЗ «О персональных данных»: Аудит на соответствие ПДн

— Что означает соответствие 152-ФЗ?
— Чем грозит несоответствие по 152-ФЗ?
— Аудит для банков и МФЦ
— Что представляет собой аудит?
— Стоимость аудита 152-ФЗ

Продукты и решения для вас

Офисный пакет

Офисный пакет

Офисные пакеты — это программное обеспечение, предназначенное для выполнения офисных задач и облегчения работы в офисной среде. Они включают в себя набор различных программ, которые позволяют создавать, редактировать и обмениваться различными типами документов, такими как текстовые файлы, электронные таблицы, презентации и другие.
ПК (АРМ)

ПК (АРМ)

ПК (АРМ) предназначен для оснащения рабочих мест сотрудников. Может быть исполнен в различных форм-факторах: моноблок, Compact, Desktop, Tower.
Сервер

Сервер

Сервер — это устройство, которое хранит данные и даёт доступ к ним большому числу клиентов.
Системы защиты информации

Системы защиты информации

Системы защиты информации — это специальные комплексы программного и аппаратного обеспечения, разработанные для обеспечения безопасности информации от несанкционированного доступа, использования, изменения или уничтожения. Они играют важную роль в защите конфиденциальности, целостности и доступности информации, а также в предотвращении угроз и атак на информационные системы.
СХД

СХД

Система хранения данных (СХД) — специализированная инфраструктура для централизованного хранения и управления информацией в компьютерных сетях.
DLP

DLP

DLP (Data Loss Prevention) — это система или набор технологий и политик, разработанных для предотвращения утраты, утечки или несанкционированного распространения конфиденциальных данных. Она используется для защиты информации, которая может быть ценной, конфиденциальной или чувствительной для организации.
SIEM

SIEM

SIEM (Security Information and Event Management) — это комплексная система, объединяющая функции сбора, анализа и управления информацией о безопасности в компьютерных сетях и информационных системах.

Межсетевые экраны

Межсетевые экраны

Межсетевые экраны — это сетевые устройства или программные приложения, предназначенные для обеспечения безопасности компьютерных сетей. Они служат первой линией защиты, контролируя и фильтруя трафик, проходящий через сетевые соединения.
Управление уязвимостями

Управление уязвимостями

Программы для управления уязвимостями — это инструменты и системы, разработанные для обнаружения, анализа, отслеживания и устранения уязвимостей в компьютерных системах и сетях.

Антивирусы

Антивирусы

Антивирусы — это специальные программы, разработанные для обнаружения, блокирования и удаления вредоносного программного обеспечения (вирусов, троянских программ, червей и других вредоносных объектов) с компьютеров и других устройств.
Цифровая криминалистика

Цифровая криминалистика
Операционные системы

Операционные системы

Операционная система (ОС) — это программное обеспечение, которое управляет и контролирует работу компьютера или другого устройства.

Информационная безопасность

Информационная безопасность

Нам доверяют

Полезные статьи

Статья Что такое пентест (pentest) и кто такой пентестер?

Что такое пентест (pentest) и кто такой пентестер?

- Что входит в тестирование на проникновение?
- Примеры пентестинга
- Что является результатом пентеста?
- Заключение
Статья Пентест для организации: задачи, средства, оценка эффективности

Пентест для организации: задачи, средства, оценка эффективности

С тех пор, как пентест «пошел в народ», с каждым годом появляется все больше вариантов его реализации. Нужно ли выделять огромные бюджеты на его выполнение? Есть ли разница в методике тестирования для разных размеров предприятий? Отвечаем на эти и другие вопросы.
Статья Договор на продвижение сайта: для чего он нужен, и как его подготовить

Договор на продвижение сайта: для чего он нужен, и как его подготовить

Для чего нужен договор на продвижение сайта, и как его составить, чтобы каждая из сторон была защищена и получила свои выгоды от сделки, – об этом в нашей статье.

FAQ: Часто задаваемые вопросы

Включает ли пентест сайта анализ php-кода?

Здравствуйте.
В зависимости от условий договора и, как следствие, формата пентеста, возможны варианты как с анализом, так и без. Также опционально возможна проверка защищенности WEB-сервера, на котором расположен сайт и социальная инженерия административных учетных записей.

Здравствуйте!

Я использую Debian 9 чтобы на нём стоял мой сервер minecraft. И недавно, он подвергся взлому, да-да именно дедик. Они зашли на него каким то путем обхода, минуя авторизацию, так же я заметил махинации что к дедику началось около 20-и конектов и брут к sftp, хотя он у меня даже не запущен. Все логи на дедике стерты, это всё что я мог узнать.

Я хочу чтобы вы сказали, как хакеры могли обойти систему авторизации SSH?

Способов обхода авторизации SSH существует несколько.
Самый актуальный — это перехват параметров подключения администратора ресурса.

В Вашем случае, это, вероятнее всего, Вы.
Злоумышленник (хакер) может просто подселить троян к Вам на компьютер, и перехватить вводимые Вами логин и пароль, а также украсть сертификат.

При отсутствии сертификата наиболее распространенный способ взлома – перебор (брут) пароля. При невысокой сложности пароля и отсутствии защиты от перебора – результат для злоумышленника лишь вопрос времени.

Это два основных способа преодолеть защиту подключения SSH.

Здравствуйте. Я студент, учусь на специалиста по информационной безопасности, пишу курсовую на тему: “Особенности внедрения подсистем предотвращения утечек КИ в систему комплексной безоп на пп.”

Как основную систему предотвращения утечек рассматриваю систему DLP и был бы очень благодарен, если Вы поможете с основными (общими) этапами проведения пентеста.

Добрый день.

DLP, как класс систем, является даже не основным, а, скорее, единственным. Просто многие продукты, позиционируемые иначе, содержат функционал DLP (например, тот же KES с возможностью блокировки флешек).

На Вашем месте я бы сделал упор не на пентест, а на возможности интеграции DLP с другими системами безопасности — в первую очередь SIEM и AD – так как комплексная система содержится в названии работы.

Отвечая на Ваш вопрос можно выделить (не всегда этапы таковы, но в среднем похоже):

  • инвентаризация области тестирования — сбор сведений об узлах сети, информационных системах, сетевом трафике, учетных данных и прочее — зачастую конфиденциальная информация находится уже на этом этапе в открытом доступе;
  • поиск уязвимостей — по общедоступным базам либо закрытым базам тестировщиков;
  • проверка прочности аутентификации (брутфорс);
  • попытка повышения прав доступа;
  • доступ к конфиденциальной информации.

Здравствуйте!

Что в обязательном порядке должно быть в ТЗ на тестирование на проникновение, а что можно исключить?

Здравствуйте!

В техническом задании указываются цель и суть работ, области проверки, сроки и время проведения пентеста, этапы проведения пентеста и требования к составу отчета. Это основные пункты технического задания для проведения тестирования на проникновение.