Автоматизированное обнаружение и сканирование
- Burp Suite Professional (актуальная лицензионная версия)
- Nuclei с отобранными, регулярно обновляемыми шаблонами
- Автоматическое базовое сканирование OWASP ZAP
- Subfinder + httpx для инвентаризации активов
Оценка уязвимостей✓ Соответствует требованиям ЕС
Оценка уязвимостей веб-приложения
Независимая оценка, объединяющая автоматизированное обнаружение с ручной валидацией находок высокой критичности. OWASP Top 10:2025. Подписанное Attestation Letter включено.
Оценка уязвимостей против пентеста
Не знаете, что именно вам нужно? Честное сравнение.
| Параметр | Оценка уязвимостей | Тест на проникновение |
|---|---|---|
| Цель | Выявить и подтвердить известные слабые места | Доказать эксплуатируемость и влияние цепочки атаки |
| Метод | Автоматизированное сканирование плюс ручная валидация находок высокой критичности | Ручная эксплуатация каждой находки, тестирование бизнес-логики |
| Эксплуатация | Нет | Да, в рамках Rules of Engagement |
| Область | Публичная, неаутентифицированная поверхность атаки одного приложения | С аутентификацией и без, несколько ролей |
| Срок | 9–10 рабочих дней | 1,5–2 недели (уровень Focused) |
| Цена | $539 фиксированно | От $1 800 |
| Закрывает | ISO 27001 A.8.8, ст. 32 GDPR, многие анкеты поставщиков | ISO 27001 A.8.29, PCI DSS 11.4, кибер-страхование, большинство корпоративных ревью |
| Attestation Letter | Прямо указано: Vulnerability Assessment | Прямо указано: Penetration Test |
Нужна реальная эксплуатация и тестирование бизнес-логики? Посмотрите Focused Web Application Penetration Test.
Зачем это нужно
Большинство сценариев комплаенса требуют доказательств регулярного тестирования безопасности, но далеко не все из них прямо требуют полноценного пентеста. Оценка уязвимостей — легитимная, признаваемая аудиторами базовая линия, и она подходит, когда ваш аудитор принимает «регулярное тестирование уязвимостей», а не «именно тестирование на проникновение»; когда анкета безопасности поставщика от корпоративного заказчика спрашивает про «тестирование безопасности» в общем виде; когда нужна базовая проверка безопасности до вложений в полный пентест; или когда бюджет пока не позволяет полноценный пентест (от $1 800).
Кто требует это от вас
- 01
ISO/IEC 27001:2022 Annex A.8.8 — управление техническими уязвимостями
- 02
SOC 2 Trust Services Criteria CC7.1 — обнаружение уязвимостей
- 03
Статья 32 GDPR — регулярная проверка эффективности мер безопасности
- 04
Статья 21 NIS2 — меры управления рисками кибербезопасности
- 05
Часть анкет безопасности поставщика — те, что спрашивают о «регулярном тестировании безопасности» без уточнения про пентест
- 06
Внутренние базовые требования безопасности — для SaaS на стадии до Series A
Что вы получаете
Ручная валидация всех находок высокой критичности
- Находки Critical и High валидируются вручную, чтобы исключить ложные срабатывания
- Векторы CVSS v3.1 для каждой находки
- Классификация CWE по каждой находке
- Привязка к OWASP Top 10:2025
Результаты работы
- Структурированный отчёт об оценке уязвимостей (executive summary, методология, находки)
- Рекомендации по устранению по каждой находке
- Подписанное Attestation Letter, где работы прямо обозначены как Vulnerability Assessment
- Один раунд уточняющих вопросов в течение 14 дней после поставки
Что будет, если этого не сделать
Наш процесс
- 1Оформление заказа
Подтверждаем URL целевого приложения, контактный email, желаемую дату поставки.
- 2Подписание взаимного NDA (день 1)
Отправляем в течение 1 рабочего часа после заказа.
- 3Короткая анкета по объёму (день 1)
Базовая информация об объёме; тестовые учётные записи для неаутентифицированного объёма не нужны.
- 4Активная оценка (дни 2–4)
Автоматизированное обнаружение + ручная валидация находок высокой критичности. Критические находки эскалируются в течение 4 часов, не дожидаясь отчёта.
- 5Подготовка отчёта (дни 5–9)
Находки описываются, назначаются векторы CVSS v3.1, проводится классификация CWE, завершается привязка к OWASP Top 10:2025.
- 6Поставка отчёта (день 9)
VA-отчёт + Attestation Letter в зашифрованном архиве, пароль — отдельным каналом.
Подходит ли вам эта оценка?
Выбирайте этот уровень, если...
- Вам нужно недорогое тестирование безопасности как базовое доказательство для комплаенса
- Вашему аудитору ISO 27001 нужны доказательства по Annex A.8.8 (управление техническими уязвимостями)
- Вы делаете сканирование уязвимостей для оценки риска по статье 32 GDPR
- Вам нужно сканирование безопасности веб-приложения с экспертной валидацией
- Вы SaaS на ранней стадии с ограниченным бюджетом и ищете первое доказательство безопасности
- Ваш корпоративный заказчик спросил: «когда у вас было последнее сканирование уязвимостей?»
Типичные ситуации
«Нам нужно что-то на странице безопасности, чтобы закрывать корпоративные сделки, но пентесты за $5 000 мы пока не можем себе позволить.»
«Аудитору нужны доказательства регулярного тестирования уязвимостей (A.8.8). Это самый дешёвый защитимый вариант.»
«Нам нужно показать надзорному органу, что мы проводим „регулярную оценку уязвимостей“ по статье 32.»
«В прошлом году у нас был полный пентест, но нужно что-то между годовыми тестами, чтобы отлавливать новые уязвимости.»
С какими запросами приходят покупатели
Большинство тех, кто выбирает нашу оценку уязвимостей за $539, сначала ищут «недорогая оценка уязвимостей», «стоимость сканирования уязвимостей веб-приложения», «услуги сканирования по OWASP Top 10» или «тестирование уязвимостей по статье 32 GDPR».
Оценка уязвимостей принципиально отличается от пентеста. VA идёт в ширину: мы сканируем на все известные уязвимости автоматизированными инструментами (Burp Suite Professional, Nuclei, OWASP ZAP), затем вручную валидируем находки высокой критичности, убирая ложные срабатывания. На выходе — структурированный отчёт с оценкой по CVSS v3.1.
Мы НЕ эксплуатируем уязвимости, чтобы доказать влияние, не тестируем ошибки бизнес-логики и не пытаемся связывать несколько слабых мест в цепочку. Если нужна такая глубина, выбирайте Focused Web Application Penetration Test ($1 800).
Когда стоит выбрать другой уровень
| Признак | Рекомендуемая услуга |
|---|---|
| Корпоративный заказчик запросил именно «недавний пентест» | Focused Pentest ($1 800) |
| Требуются доказательства по ISO 27001 Annex A.8.29 | Focused Pentest ($1 800) |
| Андеррайтер кибер-страхования требует пентест | Focused Pentest ($1 800) |
| Мультитенантный SaaS с REST API | Standard Pentest ($4 500) |
| Подготовка к SOC 2 Type II | Standard Pentest ($4 500) |
Цена и сроки
$539 фиксированная цена — одно веб-приложение, публичная поверхность атаки. Дополнительно: тестирование с аутентификацией → переход на Focused Pentest (от $1 800). Глубокое тестирование REST API → переход на Standard Pentest (от $4 500). Повторная проверка после исправлений → +$200.
Последняя проверка: 24 августа 2026Частые вопросы
Нет. Это независимая оценка уязвимостей: автоматизированное обнаружение и ручная валидация критичных находок без эксплуатации уязвимостей.
Для ISO 27001 Annex A.8.8, статьи 32 GDPR и большинства анкет поставщика отчёт и подписанное Attestation Letter подходят как доказательство регулярной оценки уязвимостей.
Это разовая независимая оценка с ручной валидацией находок высокой критичности, CVSS v3.1, CWE и подписанным документом для аудитора.
Критические находки эскалируем в течение четырёх часов, не дожидаясь финального отчёта.
Да. До начала работ согласуем безопасный канал связи и минимальный набор данных, необходимый для проверки.
Вы всё равно получите структурированный отчёт с описанием объёма, методологии, проведённых проверок и подписанное Attestation Letter.
Письмо подписывает senior-инженер, выполнивший оценку. Если аудитору нужно уточнение, ответим на один раунд вопросов в течение 14 дней после поставки.
Проверка проводится по согласованным Rules of Engagement. Мы не эксплуатируем уязвимости и заранее согласуем окно работ и контакты для эскалации.
Оценка уязвимостей веб-приложения
OWASP Top 10:2025 · CVSS v3.1 · подписанное Attestation Letter · 9–10 рабочих дней.