Облако · AWS · Azure · Google Cloud

Аудит безопасности вашего облака

Большинство утечек данных из облака возникает не из-за уязвимости, а из-за настройки: публичный бакет, роль с избыточными правами, забытый ключ. Мы находим их раньше других.

AWS, Azure, Google CloudCIS BenchmarksДоступ только на чтение
Запросить предложение →Как мы работаем
Что мы тестируем

Конфигурация, а не только машины

В одной среде, в нескольких учётных записях или у нескольких провайдеров (multi-cloud).

Идентичности и права (IAM)

Роли и политики со слишком широкими правами, учётные записи без 2FA, старые ключи доступа и пути, по которым обычный пользователь становится администратором.

Публично доступные ресурсы

Хранилища (S3, Blob, Cloud Storage), базы данных, снимки и функции, доступные из интернета, хотя так не задумывалось.

Сеть и сегментация

Группы безопасности, правила межсетевого экрана, виртуальные сети и связи между средами (продакшн, тест, разработка).

Журналирование и обнаружение

Оставит ли подозрительное действие след: журналы аудита включены, хранятся и отслеживаются, срабатывают ли нужные оповещения.

Секреты и шифрование

Ключи и пароли в переменных окружения или в коде, шифрование данных при хранении и передаче, управление ключами.

Infrastructure as Code

Если вы используете Terraform, CloudFormation или Bicep, мы проверяем и шаблоны: ошибка, исправленная только в консоли, вернётся при следующем развёртывании.

Запрос предложения

Соберите запрос за две минуты

Три шага, без угадывания цен: расскажите, что у вас есть, и в течение рабочего дня вы получите периметр, длительность и график теста.

  1. 1 Что тестируем
  2. 2 Как и когда
  3. 3 Куда ответить
Какое облако вы используете?
Сколько аккаунтов, подписок или проектов?
На чём сосредоточиться?
Как тестируем?
Касается ли вас регулирование или аудит?
Когда нужен отчёт?
По одному в строке. Ничего не тестируется до подписанного разрешения.

Мы используем ваши данные только для ответа на этот запрос. Политика конфиденциальности

Методология

Как проходит проект

По CIS Benchmarks для каждого провайдера, с доступом только на чтение к конфигурации (graybox) или снаружи, без доступа к консоли (black-box).

  1. Периметр и предложение

    Вы сообщаете, что входит в тест; в течение одного рабочего дня вы получаете предложение с периметром, сроками и графиком.

  2. Разрешение на тестирование

    Вы подписываете разрешение в портале: цели, окно тестирования и правила. Без него ни один тест не начинается.

  3. Разведка и тестирование

    Мы изучаем учётные записи, сервисы и права между ними, затем тестируем вручную, используя автоматические инструменты лишь как вспомогательные. Статус тестирования виден в портале.

  4. Отчёт и разбор

    Вы получаете отчёт для руководства и технический отчёт; о серьёзных находках мы сообщаем сразу, а не в конце.

  5. Устранение и повторная проверка

    После исправления вы запрашиваете повторную проверку из портала: мы проверяем каждую находку и закрываем её с доказательством.

Что вы получаете

Результаты

  • Отчёт для руководства: риск понятным языком, без жаргона
  • Технический отчёт: каждая находка с критичностью, доказательством и шагами воспроизведения
  • Конкретные шаги по устранению для вашей технологии
  • Находки в портале: ответственный, срок, история и повторная проверка в один клик
  • Письмо-подтверждение для аудиторов с публичной проверкой
Дальше

Руководства по этой услуге

Руководство по ISO 27001 и SOC 2Руководство по DORA и TLPTКак подготовиться к пентестуПентест или сканирование уязвимостей?Руководство по NIS2 и GDPR
Частые вопросы

Что нас спрашивают клиенты

Какой доступ вам нужен?
Для аудита graybox — учётная запись с правами только на чтение конфигурации: мы ничего не можем изменить. Для black-box доступ не нужен: мы видим только то, что видно из интернета.
Сколько длится аудит облака?
Зависит от числа учётных записей, подписок или проектов и используемых сервисов. Обычно результаты готовы через 2–3 недели после подписания разрешения; в срочном режиме — за 5–7 дней.
Есть ли риски для наших систем?
Мы работаем с максимальной осторожностью: тесты планируются вместе с вами после подписанного разрешения на тестирование, а действия, способные повлиять на работу систем, согласуются заранее или выполняются на тестовой среде.
Что мы получаем в конце?
Отчёт для руководства и технический отчёт для команды: каждая находка с уровнем критичности (критический, высокий, средний, низкий), доказательством и шагами по устранению. Находки также отслеживаются в портале, где вы запрашиваете повторную проверку после исправления.

Хотите знать, что видит атакующий в вашем облаке?

Опишите периметр — мы ответим предложением в течение одного рабочего дня.

Запросить предложение →