Audyt i testy penetracyjne
Testujemy aplikacje webowe, panele B2B, API i infrastrukturę według OWASP Top 10 i OWASP ASVS: uwierzytelnianie, uprawnienia, wstrzyknięcia, konfigurację, nagłówki, TLS i ekspozycję danych.
Naprawy i hardening
Znalezione podatności zamieniamy na konkretne zadania: poprawki w kodzie Laravel i PHP, aktualizacje zależności, konfigurację serwera Linux, kopie zapasowe, sekrety i bezpieczny pipeline wdrożeń.
Monitoring i zgodność
Ustawiamy cykliczne skanowanie, alerty o nowych podatnościach i wygasających certyfikatach oraz pomagamy przygotować dokumentację pod NIS2, ustawę o KSC i RODO.
Dla kogo jest ta usługa
Dla firm, które mają aplikację webową, sklep, platformę B2B, portal klienta albo API z danymi klientów i chcą wiedzieć, jak wygląda ich realne ryzyko. Szczególnie dla firm objętych NIS2 lub dostawców, od których klienci wymagają potwierdzenia bezpieczeństwa.
Zasady testów
Każdy test prowadzimy wyłącznie na podstawie pisemnego upoważnienia od właściciela systemu, z uzgodnionym zakresem (domeny, adresy IP, środowiska), oknem czasowym i osobą kontaktową. Nie wykonujemy testów obciążeniowych typu DoS bez osobnej zgody, a wyniki objęte są umową poufności.
Co dostajesz po audycie
Raport z podsumowaniem dla zarządu, listą podatności z oceną CVSS, krokami do odtworzenia i zaleceniami naprawczymi. Po wdrożeniu poprawek wykonujemy retest i potwierdzamy, które problemy zostały zamknięte.
Co firma powinna wiedzieć przed startem tej usługi
Bezpieczeństwo nie zaczyna się od zakupu narzędzia. Zaczyna się od pytania, co firma chroni: dane klientów, zamówienia, dostęp do paneli, ciągłość sprzedaży. W tej usłudze najpierw ustalamy zakres i podpisujemy upoważnienie do testów, potem sprawdzamy systemy z zewnątrz i od środka, a na końcu dostarczamy raport, który da się zamienić w konkretne zadania dla zespołu.
Jak ta usługa zamienia się w działający system biznesowy
Zakres i upoważnienie
Ustalamy cel, systemy do testów, środowisko, okno czasowe i zasady kontaktu. Podpisujemy upoważnienie do testów, NDA i w razie potrzeby umowę powierzenia danych.
Rekonesans i skanowanie
Mapujemy powierzchnię ataku: domeny, subdomeny, otwarte porty, technologie, certyfikaty, nagłówki i znane podatności w używanych wersjach oprogramowania.
Testy manualne i weryfikacja
Ręcznie sprawdzamy logikę aplikacji, uprawnienia, sesje, formularze i API. Każde znalezisko z automatu weryfikujemy, żeby raport nie zawierał fałszywych alarmów.
Raport, naprawy i retest
Przekazujemy raport z priorytetami, pomagamy wdrożyć poprawki w kodzie i konfiguracji, a następnie wykonujemy retest i opcjonalnie ustawiamy stały monitoring.
Co powinno poprawić się po wdrożeniu
- Wiedza, które ryzyka są realne, a które tylko teoretyczne
- Mniej podatności dostępnych z internetu i szybsza reakcja na nowe
- Dokumentacja pomocna przy NIS2, KSC, RODO i wymaganiach klientów
- Bezpieczniejszy proces wdrożeń i utrzymania aplikacji
Najczęstsze pytania
Czy test penetracyjny jest legalny?
Tak, jeżeli odbywa się za pisemną zgodą właściciela systemu i w uzgodnionym zakresie. Kodeks karny wyłącza odpowiedzialność za działania prowadzone wyłącznie w celu zabezpieczenia systemu. Dlatego zawsze zaczynamy od upoważnienia z listą domen, adresów IP i terminem testów.
Czy testy mogą zakłócić działanie produkcji?
Ryzyko jest niewielkie, ale je kontrolujemy. Ustalamy okno czasowe, limity ruchu i osobę kontaktową, nie wykonujemy testów DoS bez osobnej zgody, a tam, gdzie to możliwe, testujemy na środowisku testowym będącym kopią produkcji.
Ile trwa audyt bezpieczeństwa aplikacji?
Szybki przegląd zewnętrzny strony lub sklepu to zwykle 2–3 dni robocze. Pełny test aplikacji webowej z panelem i API to najczęściej od 5 do 15 dni, w zależności od liczby ról, modułów i integracji.
Czy pomagacie w przygotowaniu do NIS2 i ustawy o KSC?
Tak, w części technicznej: inwentaryzacja systemów, ocena podatności, hardening, kopie zapasowe, monitoring i procedura obsługi incydentów. Przy interpretacji prawnej obowiązków współpracujemy z kancelarią lub doradcą compliance klienta.
Czy naprawiacie znalezione podatności?
Tak. To nasza główna różnica wobec firm, które przekazują tylko raport. Jako zespół developerski poprawiamy kod Laravel i PHP, aktualizujemy zależności, konfigurujemy serwery i wdrażamy poprawki, a potem wykonujemy retest.
Czy oferujecie stały monitoring bezpieczeństwa?
Tak. Po audycie możemy ustawić cykliczne skanowanie zewnętrzne, monitoring certyfikatów SSL, nagłówków i znanych podatności w używanych wersjach oprogramowania, z miesięcznym raportem i alertami o krytycznych zmianach.