Проверяем восемь зон боевого контура — от секретов в репозитории до прав на файлы и наблюдаемости. Каждая находка приходит не как «рекомендуем усилить», а как файл, строка, сценарий эксплуатации, конкретный фикс и приоритет.
Срок — ориентир по нашим проектам; точный срок фиксируется в договоре после обследования. Договоры и счета оформляет ООО «АЛЬФАДИСК» на ОСНО. Страница не является публичной офертой.
Типичная картина: пароли и токены лежат в переменных окружения и в истории git, порт базы открыт наружу «на время отладки» с прошлого года, бэкап делается — но восстановление из него не проверяли ни разу, а логи пишут всё, включая то, что писать нельзя.
Каждая из этих вещей по отдельности выглядит терпимой. Вместе они дают цепочку: попал в один сервис — забрал ключ — прочитал базу — вышел наружу.
Узнать об этом от чужого аудитора, от покупателя на due diligence или из письма с требованием выкупа — всегда дороже, чем найти самим.
Работаем в режиме чтения: снимаем конфигурацию, права, версии и код, разбираем их у себя. Эксплуатация уязвимостей на живом контуре не проводится — сценарий описывается, а не исполняется, если вы отдельно не согласовали проверку в тестовой среде.
Определяем, какие хосты, репозитории и кабинеты входят в периметр, и получаем доступ на чтение. Письменно фиксируем, что мы не делаем: не меняем конфигурацию, не перезапускаем сервисы, не проводим нагрузочных и разрушающих проверок.
Собираем состояние: пакеты и версии, открытые порты и правила фильтрации, пользователи и sudo, права на каталоги и файлы, сертификаты и сроки их действия, задания планировщика, юниты автозапуска, содержимое переменных окружения и историю секретов в репозитории.
Секреты и ключи · доступы и учётные записи · сеть и периметр · права в файловой системе · базы данных и их резервные копии · веб-контур, заголовки и загрузка файлов · прикладной код: авторизация, инъекции, идемпотентность, обработка ошибок · наблюдаемость: что пишется в логи, что из этого нельзя писать, и увидите ли вы инцидент вообще.
Второй проход идёт вслепую относительно первого — без доступа к рассуждениям первого прохода, только исходные данные и критерии. Критик отделён от исполнителя. Это отсеивает и пропуски, и ложные срабатывания.
Находки сортируются по приоритету, к каждой пишется конкретный фикс. Исправления разбиваются на волны: сначала то, что закрывает вход, потом то, что уменьшает ущерб, потом гигиена. К каждой волне — бэкап до операции и план отката.
Не список рекомендаций общего вида, а перечень, по которому ваш разработчик закрывает пункты один за другим.
Стоимость определяется числом хостов, объёмом кода и количеством внешних интеграций — поэтому считаем её после короткого разговора о периметре. Цифру и состав работ называем в течение одного рабочего дня, до начала работ и без изменений задним числом.
Восемь зон проверки, двойное слепое ревью находок, письменный отчёт с планом волн исправления. Прод при этом продолжает работать.
Сумму и состав работ фиксируем в договоре после разговора о периметре.
Первый разговор бесплатный, ни к чему не обязывает.
Метод прогонялся на боевом контуре — но результаты конкретных аудитов мы публикуем только с письменного согласия владельца контура, а таких согласий у нас сейчас нет.
Рассказывать чужие находки без согласия мы не будем — это та же дисциплина обращения с данными, которую мы обещаем и вам: всё найденное у вас остаётся между нами. Количество находок мы и не стали бы обещать: оно зависит от того, как контур собирали. Обещаем проверяемое: формат «файл, строка, сценарий эксплуатации, фикс, приоритет» для каждой находки, режим чтения и то, что прод при проверке не останавливается.
Сколько хостов, какой стек, есть ли внешние интеграции и персональные данные. Этого хватает, чтобы дать точную сумму и срок до начала работ.
Обсудить задачу