Тестирование на проникновение — уровень 2🚀 New

Focused Web Application Penetration Test

Реальный ручной пентест одного веб-приложения. Тестирование с аутентификацией и без, ручная эксплуатация, готовность к ISO 27001 Annex A.8.29.

Коротко

Реальный ручной пентест одного веб-приложения. Тестирование с аутентификацией и без неё. Ручная эксплуатация всех находок в рамках Rules of Engagement. Методология OWASP WSTG v4.2, покрытие OWASP Top 10:2025 и OWASP API Security Top 10 (2023). Оценка по CVSS v3.1 с классификацией CWE. Подписанное Attestation Letter принимается как доказательство для ISO 27001 Annex A.8.29, SOC 2 CC4.1 и большинства корпоративных ревью безопасности поставщика. 3–5 человеко-дней. Поставка за 1,5–2 недели. От $1 800.

Зачем это нужно

Это минимальный объём, в рамках которого мы выполняем работы с формулировкой «тест на проникновение» и отвечаем за результат перед корпоративной службой безопасности или аудитором ISO 27001.

Большинству SaaS-стартапов и небольших B2B-платформ не нужен уровень Enterprise. Им нужен реальный, сфокусированный пентест основного приложения — достаточное доказательство для аудита ISO 27001 Annex A.8.29, доказательств SOC 2 CC4.1/CC7.1, ревью безопасности поставщика со стороны корпоративного заказчика, требования андеррайтера кибер-страхования и ежегодной повторной проверки безопасности.

Кто требует это от вас

  1. 01

    ISO/IEC 27001:2022 Annex A.8.29 — тестирование безопасности при разработке и приёмке

  2. 02

    SOC 2 Trust Services Criteria — CC4.1, CC7.1, CC7.2

  3. 03

    Корпоративные анкеты безопасности поставщика, требующие «тест на проникновение» (а не «оценку уязвимостей»)

  4. 04

    Андеррайтеры кибер-страхования — стандартные анкеты AIG, Hiscox, Beazley, Chubb, Travelers

  5. 05

    Статья 32 (1)(d) GDPR — процесс регулярной проверки мер безопасности

  6. 06

    PCI DSS 4.0, требование 11.4.1 — не реже одного раза в год и после существенных изменений

Что вы получаете

Объём тестирования (одно веб-приложение целиком)

  • Тестирование с аутентификацией по предоставленным тестовым учётным записям (несколько ролей, где применимо)
  • Тестирование публичной поверхности атаки без аутентификации
  • Ручная эксплуатация всех находок, где это безопасно возможно в рамках Rules of Engagement
  • Операционная база OWASP WSTG v4.2 — полное покрытие тест-кейсов
  • Покрытие OWASP Top 10:2025 и OWASP API Security Top 10 (2023)
  • Тестирование аутентификации и управления сессиями
  • Тестирование применения авторизации
  • Тестирование инъекций на стороне сервера и клиента
  • Ошибки бизнес-логики (где применимо к объёму)
  • Ревью реализации криптографии

Результаты работы

  • Формальный отчёт о тестировании на проникновение (обычно 15–25 страниц)
  • Executive summary, методология, находки с векторами CVSS v3.1 и классификацией CWE
  • Воспроизводимые proof-of-concept доказательства
  • Рекомендации по устранению по каждой находке
  • Подписанное Attestation Letter, пригодное для файла аудиторских доказательств и файла безопасности поставщика
  • Один раунд уточняющих вопросов включён
  • Эскалация критических находок в течение 4 часов после валидации

Дополнительные опции

  • Повторная проверка после исправлений в течение 30 дней (+$500)
  • Дополнительные раунды уточнений (+$200 за раунд)
  • Сессия передачи аудитору (30 мин) (+$200)
  • Ответы на вопросы службы безопасности конечного заказчика (+$300)

Что будет, если этого не сделать

Несоответствие в аудите ISO 27001 по Annex A.8.29 — ресертификация отложена
Корпоративный контракт потерян или застрял на юридической проверке из-за отсутствия доказательств пентеста
Заявка на кибер-страхование отклонена или премия повышена на 200–400%
Оценка риска по GDPR не завершена — риск запроса от надзорного органа
Замечания в аудите SOC 2 по CC4.1 — отчёт Type II выходит с оговоркой

Наш процесс

  1. 1Звонок по объёму (30 минут)

    Подтверждаем целевой URL, роли пользователей, нужные тестовые учётные записи, периоды запрета тестирования, контакты для эскалации.

  2. 2NDA + Statement of Work + Rules of Engagement

    Подписываются в течение 5 рабочих дней после звонка по объёму.

  3. 3Выдача доступа к тестовому окружению

    Учётные данные передаются клиентом по защищённому каналу.

  4. 4Активное тестирование (3–5 человеко-дней за 1–1,5 недели)

    Ежедневные апдейты. Критические находки эскалируются в течение 4 часов.

  5. 5Поставка отчёта и Attestation Letter

    Зашифрованный архив. Пароль отправляется отдельным каналом.

  6. 6Один раунд уточнений включён

    В течение 14 дней после поставки.

Подходит ли вам этот пентест?

Выбирайте этот уровень, если…

  • У вас одно веб-приложение для тестирования (а не целая платформа)
  • Вам нужны доказательства именно по ISO 27001 Annex A.8.29
  • Ваш андеррайтер кибер-страхования требует недавний пентест
  • Вы готовитесь к первому корпоративному ревью безопасности поставщика
  • Ваш бюджет уровня SMB — примерно $2 000–3 000 на тестирование безопасности
  • Вам нужна реальная ручная эксплуатация, а не только автоматическое сканирование

Типичные ситуации

B2B SaaS уровня Series A, Великобритания

«Мы только что подписали первую корпоративную сделку, и их отдел закупок требует недавний пентест как условие контракта.»

Healthtech-стартап на пороге ISO 27001

«Аудитор сказал, что нужны доказательства пентеста для A.8.29. Какой минимальный объём подойдёт?»

Платёжная платформа перед продлением кибер-страховки

«AIG отказала в продлении, сославшись на „недостаточные доказательства безопасности“. Нужны нормальные доказательства пентеста.»

Европейский финтех перед DORA

«Мы готовимся к общему тестированию устойчивости по DORA. Какой пентест начального уровня?»

С какими запросами приходят покупатели

Те, кто попадает сюда, обычно искали «пентест небольшого веб-приложения», «недорогое тестирование на проникновение», «пентест для стартапа», «пентест для ISO 27001», «требование пентеста для кибер-страхования» или «пентест для корпоративной сделки». Наш Focused Pentest от $1 800 сделан ровно под эти сценарии.

Почему от $1 800, а не $4 000–7 000? Британские компании с аккредитацией CREST берут $4 000–7 000 за такой же объём, потому что аккредитация CREST — существенные накладные расходы. Мы даём ту же методологию OWASP WSTG v4.2, ту же оценку по CVSS v3.1 и подписанное Attestation Letter из нашей базы в Moldova IT Park по меньшей цене. То же качество, экономия 55–75%.

Когда стоит выбрать другой уровень

ПризнакРекомендуемая услуга
Нужны только базовые доказательства (ISO 27001 A.8.8)VA ($539)
Мультитенантный SaaS с REST APIStandard Pentest ($4 500)
Нужна включённая повторная проверка после исправленийStandard Pentest ($4 500)
Нужно тестирование веба и мобильного приложенияStandard Pentest + мобильная опция

Частые вопросы об этом уровне

Это ручной пентест: мы проверяем приложение по OWASP WSTG v4.2, валидируем и безопасно эксплуатируем находки в согласованных рамках Rules of Engagement.

В объём входят релевантные тест-кейсы OWASP WSTG v4.2, OWASP Top 10:2025 и OWASP API Security Top 10 (2023).

Да. Формальный отчёт и подписанное Attestation Letter подготовлены для ISO 27001 Annex A.8.29, SOC 2 и корпоративных ревью безопасности поставщика.

На звонке по объёму согласуем роли, тестовые учётные записи, способ доступа и ограничения. Проверка выполняется по утверждённым Rules of Engagement.

Да. До начала активного тестирования подписываем взаимный NDA, Statement of Work и Rules of Engagement.

Focused Pentest включает тестирование с аутентификацией, ручную эксплуатацию находок и проверку бизнес-логики в согласованном объёме.

Повторная проверка доступна в течение 30 дней как дополнительная опция за $500.

Да. Отчёт, доказательства и Attestation Letter можно передать заказчику или аудитору через согласованный защищённый канал.

Цена и сроки

от $1 8001,5–2 недели

От $1 800 за небольшое веб-приложение с одной задачей. До $2 500 за более сложное одиночное приложение с несколькими ролями пользователей, встроенными платежами, загрузкой файлов или умеренной API-поверхностью. Точная сумма фиксируется в Statement of Work после звонка по объёму.

Последняя проверка: 24 августа 2026
Только seniorГарантия 14 днейSEC-PENT-02

Частые вопросы

Focused Pentest включает ручное тестирование с аутентификацией, эксплуатацию находок и проверку согласованного объёма приложения.

Для требований Annex A.8.29 Focused Pentest предоставляет формальный отчёт и Attestation Letter. Конкретный объём стоит согласовать с вашим аудитором.

Повторная проверка доступна в течение 30 дней как дополнительная опция за $500.

Да. Отчёт, доказательства и Attestation Letter можно передать заказчику через согласованный защищённый канал.

Старт согласуем после звонка по объёму, подписания NDA и Rules of Engagement, а также получения необходимых доступов.

Да. До начала работ подписываем DPA, NDA и Rules of Engagement с согласованным объёмом тестирования.

SEC-PENT-02 · ОТ $1 800

Focused Web Application Penetration Test

OWASP WSTG v4.2 · ручная эксплуатация · подписанное Attestation Letter · 1,5–2 недели.

info@optimumcode.ru · Пн–Пт 10:00–18:00 EET