Колко струва пентест в България?

Тест за проникване на уеб приложение обикновено струва между 2 556,46 и 9 203,25 евро, външен мрежов пентест между 1 789,52 и 6 135,50 евро. Atlant Security дава фиксирана оферта до 24 часа след безплатен разговор за обхвата.

Колко струва одит на сигурността?

Одитът на ИТ сигурността започва от €4 600 при фиксирана цена и се доставя за 14 дни, включително поетапен план за отстраняване, по който можете да действате веднага.

Колко струва виртуален CISO (vCISO)?

vCISO услугата на Atlant Security започва от €1 400 на месец за малък бизнес. Типичният пакет за компании с 50-500 служители е €3 000 на месец.

Какво прави една компания за киберсигурност?

Компания за киберсигурност защитава бизнеса от хакерски атаки и загуба на данни: одитира ИТ инфраструктурата, тества системите чрез контролирани атаки (пентест), изгражда защити и подготвя организацията за стандарти като ISO 27001, NIS 2, DORA и SOC 2. Atlant Security прави всичко това с фиксирани цени и срокове.

Колко бързо мога да получа одит на сигурността?

За 14 дни. Получавате пълен одит на ИТ сигурността с отчет, готов за борда на директорите, и поетапен план за отстраняване. Намаляваме уязвимостите с 90% за 30 дни след одита.

Кой стои зад Atlant Security?

Основателят Александър Свердлов е бивш консултант по сигурността в Microsoft с над 20 години опит, ръководил проекти за банки, държавни институции и ядрена енергийна инфраструктура. Компанията е основана през 2019 г. със седалище в София.

Пентест (тестове за проникване)

Тест за проникване на API

Подробна проверка на сигурността на REST, GraphQL и gRPC API.

OWASP API Top 10SOC 2PCI DSS

Определете обхвата на теста Вижте цените

01 / ПОДРОБНОСТИ

Какво включва услугата

API свързват приложенията, услугите и данните на бизнеса. Пропуск в защитата им може да даде достъп до информация или функции, предназначени за друг потребител. Проверяваме ръчно REST, GraphQL и gRPC API по OWASP API Security Top 10 2023, като допълваме автоматизираното сканиране с анализ на достъпа и бизнес логиката. Особено внимание отделяме на Broken Object Level Authorization (BOLA): дали един потребител може да чете или променя обекти, които принадлежат на друг. Проверяваме механизмите за вход, настройките на JWT, изтичането на токени и OAuth процесите. Тестваме също правата върху отделни полета на обектите, mass assignment, Server-Side Request Forgery (SSRF) и инжекционни атаки. При проверката на бизнес логиката търсим начини за заобикаляне на ограниченията за заявки, грешки при едновременно изпълнение на операции (race conditions), получаване на допълнителни права чрез последователни API заявки и манипулиране на плащания или абонаменти. Тестваме с и без потребителски акаунт, включително комуникацията между услуги в архитектура с микросървиси. Обхватът включва различните версии на API, проверката на уебхукове, качването на файлове и достъпа до страницирани резултати. При GraphQL преглеждаме интроспекцията, ограниченията за дълбочина и сложност на заявките, групираните заявки, правата върху отделните полета и абонаментите чрез WebSocket. Започваме с безплатна консултация за обхвата и изпращаме оферта с фиксирана цена до 24 часа. За критичните уязвимости ви уведомяваме веднага, за да можете да реагирате още преди крайния доклад.

Илюстрация на тестване за сигурност на API - REST и GraphQL крайни точки, проверявани за уязвимости

02 / ПОДРОБНОСТИ

За кого е подходяща услугата

SaaS компании с публично достъпни API

Екипи, чиито мобилни приложения използват сървърни API услуги

Организации с вътрешна архитектура от микросървиси

Финтех фирми, обработващи чувствителни финансови данни чрез API

Здравни платформи, които предоставят достъп до пациентски данни чрез API

Изследовател по сигурност, анализиращ верига от API заявки и отговори за уязвимости в автентикацията и оторизацията

Готови ли сте да започнете?

Запазете безплатна консултация с нашите специалисти с опит в Microsoft. Уточняваме обхвата и ви изпращаме оферта с фиксирана цена до 24 часа.

Определете обхвата на теста

03 / ПОДРОБНОСТИ

Нашата методология

↗

Стъпка 01

Преглед на API и потоците от данни

Описваме достъпните API операции, движението на данните и начините за вход. Преглеждаме наличната документация.

↗

Стъпка 02

Изследване на уязвимости

Проверяваме ръчно за BOLA, заобикаляне на входа, пропуски в бизнес логиката, инжекционни атаки и останалите рискове от OWASP API Top 10.

↗

Стъпка 03

Потвърждаване на уязвимостите

С контролирани тестове показваме как може да бъде използвана всяка уязвимост и какви са последиците за бизнеса.

↗

Стъпка 04

Докладване и повторно тестване

Предаваме доклад с подредени по риск констатации, стъпки за корекция и примери за код. След отстраняването извършваме безплатна повторна проверка.

Работен процес на API пентест - откриване на крайни точки, тестване на автентикация, инжекционно тестване и анализ на бизнес логика

04 / РЕЗУЛТАТИ

Какво получавате

Тестване за Broken Object Level Authorization (BOLA)
Анализ на Mass Assignment и прекомерно разкриване на данни
Проверка на ограниченията за брой заявки и защита от изчерпване на ресурси
Проверка на JWT и токените за достъп
Проверка на интроспекцията и ограниченията за дълбочина на заявките в GraphQL
Преглед на сигурността на gRPC
Идентифициране на пропуски в бизнес логиката
Преглед на API документацията (Swagger/OpenAPI)
Тестване за Server-Side Request Forgery (SSRF)
Проверка на сигурността при вход чрез OAuth и SSO

05 / ЦЕНИ

Цени за Тест за проникване на API

API пентест

Подробен тест на API с ръчна проверка на уязвимостите, включително тези, които автоматичните скенери пропускат.

От €3 700за проект

Покритие на OWASP API Top 10
Тестване на BOLA и бизнес логика
Срок за изпълнение: 1-2 седмици
Резюме за ръководството и подробен технически доклад
Включена безплатна повторна проверка

Определете обхвата на теста

Визуализация на покритие на защитата по OWASP API Security Top 10

06 / ВЪПРОСИ

Често задавани въпроси

Колко струва тестването за проникване на API?

Цената започва от €3 700 за стандартен проект. Зависи от броя на API операциите, сложността на бизнес логиката и начините за вход. Уточняваме обхвата и фиксираме цената предварително, така че да знаете общия разход преди началото.

Колко време отнема API пентест?

Обикновено 1-2 седмици, според броя на API операциите и сложността на бизнес логиката. За големи системи с множество микросървиси може да са необходими 2-3 седмици. Договаряме точния график при първоначалната консултация.

Проверявате ли повторно уязвимостите след корекциите?

Да. Цената включва един безплатен повторен тест на всички установени уязвимости. След като разработчиците приложат корекциите, проверяваме резултата и актуализираме доклада с отстранените и оставащите проблеми.

Тествате ли ръчно, или използвате автоматични инструменти?

Основната работа е ръчна, с помощта на специализирани инструменти. Проверяваме достъпа до данни, бизнес логиката и сложните зависимости между заявките — области, в които автоматичните скенери често пропускат проблеми. Автоматизацията ни помага да проверим обхвата и да повторим тестовете след промени.

Какво включва финалният доклад?

Получавате резюме за ръководството и технически доклад с инструкции за възпроизвеждане на всяка уязвимост, оценка по CVSS и насоки за отстраняване с примери за код. Посочваме и връзката на констатациите с OWASP API Top 10, SOC 2 и PCI DSS.

По какво API пентестът се различава от автоматизираното API сканиране?

Автоматичните скенери търсят известни уязвимости и неправилни настройки. Ръчният тест проверява и как работи конкретното приложение: кой има достъп до обектите, как се комбинират операциите и какво се случва при едновременни заявки. Така откриваме пропуски в правата и бизнес логиката, които изискват разбиране на контекста.

Тествате ли GraphQL API?

Да. Проверяваме дали интроспекцията разкрива информация в работната среда, дали дълбоки или сложни заявки могат да претоварят услугата и дали групирани заявки заобикалят ограниченията. Тестваме също правата върху отделните полета и защитата на абонаментите чрез WebSocket.

Необходима ли ви е API документация, за да започнете?

Документацията по Swagger/OpenAPI ускорява работата, но не е задължителна. Можем да установим достъпните API операции и чрез наблюдение и тестове. Ако има документация, проверяваме и нея за настройки или информация, които създават риск.

07 / ПОДРОБНОСТИ

Запазете безплатна консултация

Запазете удобен час за безплатна 30-минутна консултация. Разговорът не ви обвързва с договор.

Изберете удобен час, за да обсъдим нуждите ви.

Или посетете страницата за контакт ↗

ОПРЕДЕЛЕТЕ ОБХВАТА

Подгответе запитване за тест за проникване.

Опишете приложенията, API, мрежите и облачните системи, които искате да тестваме. Прегледайте запитването и го изпратете. Ще получите копие по имейл, а можете да го изтеглите и като документ.

Ще видите само въпросите за избрания обхват. Приблизителни стойности и отговор „Не съм сигурен/сигурна“ са достатъчни.