Послуги з кібербезпеки та тестування на проникнення
Послуги з кібербезпеки та пентесту: тести на проникнення вебзастосунків і мобільних застосунків, API, мереж і хмарних акаунтів, безпека застосунків і безпечне код-рев'ю, безпека хмарної конфігурації, моніторинг безпеки та реагування на інциденти, а також технічна частина ISO 27001, SOC 2 і PCI DSS, з виділеними інженерами з кібербезпеки та пентестерами для вашої команди.
Послуги з безпеки, які ми надаємо
Тести на проникнення вебзастосунків
Автентифікація, сесії, контроль доступу, бізнес-логіка та ін'єкції, які перевіряються вручну за OWASP Web Security Testing Guide, а автоматичне сканування є відправною точкою, а не результатом.
Тести на проникнення мобільних застосунків і API
Застосунки для iOS і Android, які перевіряються за OWASP MASVS, а також API REST, GraphQL і gRPC за OWASP API Security Top 10: авторизація на рівні об'єктів, mass assignment, обмеження частоти запитів і токени, які діють довше, ніж потрібно.
Тести на проникнення мереж і Active Directory
Тести зовнішнього периметра та внутрішньої мережі, шляхи атак на Active Directory і Entra ID, складені за допомогою BloodHound, тестування Wi-Fi та симуляції фішингу, коли ви їх замовляєте, кожне за письмовим дозволом.
Безпека застосунків і безпечне код-рев'ю
Моделі загроз для нових функцій, ручна перевірка коду автентифікації, авторизації та роботи з даними, статичний аналіз у CodeQL або Semgrep, налаштований так, щоб розробники довіряли його знахідкам, і навчання безпечному кодуванню на проблемах, знайдених у вашому власному коді.
Стан безпеки хмари
Акаунти AWS, Azure і Google Cloud, які постійно перевіряються через Security Hub, Defender for Cloud, Security Command Center, Prowler чи Wiz на публічні сховища, надто широкі ролі, довгоживучі ключі та вимкнене журналювання, а виправлення оформлюються за підходом «інфраструктура як код».
Моніторинг безпеки та SOC
Логи з хмари, систем ідентифікації, кінцевих пристроїв і застосунків збираються в Microsoft Sentinel, Splunk, Elastic Security або Wazuh, правила виявлення зіставлені з MITRE ATT&CK, EDR стоїть на кожному пристрої, а алерти розбирають аналітики за графіком чергувань, який ви погоджуєте.
Реагування на інциденти
Локалізація інциденту, збереження доказів для криміналістичного аналізу, пошук першопричини та відновлення систем із чистих резервних копій, а потім письмовий звіт і правило виявлення, яке допомогло б помітити це раніше. Tabletop-навчання перевіряють план ще до того, як він знадобиться.
Автоматизація відповідності вимогам
Технічна частина ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2 і DORA: контролі, вбудовані у ваші системи, докази, що збираються з них автоматично через Vanta, Drata або ваші власні скрипти, а перегляди доступів, резервні копії та контроль змін підтверджуються записами, а не скриншотами.
Посилення захисту (hardening)
Сервери, контейнери, кластери та ноутбуки, приведені до CIS Benchmarks, і мережі промислового керування, сегментовані на зони за IEC 62443, з налаштуваннями, що застосовуються кодом і перевіряються за розкладом, щоб вони не розходилися з еталоном.
Наші інженери з кібербезпеки та пентестери для вашої команди
Виділені інженери з кібербезпеки та пентестери
Інженери з кібербезпеки та пентестери, які приєднуються до вашої команди на повний робочий день, працюють у ваших інструментах і за вашим процесом і звітують вашому керівнику. Співбесіду проводите ви, а український договір, зарплата, рахунки й відпустки на нас.
Інженерія кібербезпеки як окремий проєкт
Окремий проєкт (напрям: інженерія кібербезпеки) з визначеним обсягом, фіксованим планом і призначеним керівником з нашого боку, який відповідає за результат і звітує про хід роботи у ваших каналах.
Постійна співпраця: інженерія кібербезпеки
Інженерія кібербезпеки як постійна послуга: ті самі люди щомісяця, беклог, пріоритети в якому визначаєте ви, і години, які видно в нашому порталі та в рахунку.
На сторінці виділеної команди пояснено, як фахівці приєднуються до вашої команди, а на сторінці аутсорсингу описано реалізацію проєктів, прийняття систем від інших команд і те, як ми беремо оплату.
Хто працює над вашим проєктом (напрям: інженерія кібербезпеки)
Пентестери
Тестування вебзастосунків, мобільних застосунків, API, мереж і хмари
Інженери з безпеки застосунків
Безпечне код-рев'ю, моделі загроз і сканування в пайплайні
Інженери з безпеки хмари
Стан безпеки, ідентифікація та виправлення за підходом «інфраструктура як код»
Аналітики SOC та фахівці з реагування на інциденти
Виявлення, первинний розбір і реагування
Інженери з відповідності вимогам
Контролі та докази ISO 27001, SOC 2 і PCI DSS
Як ми працюємо з безпекою
Кожен тест починається з письмового обсягу робіт: які системи й акаунти, у які години, кому телефонувати, якщо щось зламається, і письмовий дозвіл від власника кожної системи. Тестування, де можливо, проходить на staging, кожна знахідка передається з рівнем критичності, кроками відтворення та виправленням, а повторний тест після виправлень підтверджує, що кожну закрито.
Знахідки виправляються там, де вони виникли: зміни коду вносять розробники, хмарні та мережеві зміни вносяться через інфраструктуру як код, а на кожну є регресійний тест або правило виявлення, тож закрита знахідка залишається закритою. До власних систем ми застосовуємо той самий стандарт: наші ноутбуки на Windows, macOS і Ubuntu перевіряє на відповідність нашим базовим вимогам безпеки агент, якого ми написали на Rust, а перевірки зіставлено зі стандартами ISO 27001, CIS, Cyber Essentials, Essential Eight і SOC 2.
Інші послуги з хмари, DevOps і безпеки
Розробка на AWS
Розробка на AWS: контейнери EKS і ECS, serverless, landing zone, міграції, бази даних, платформи даних, генеративний AI на Bedrock, безпека й оптимізація витрат. Надаємо виділених інженерів AWS або виконуємо проєкт.
Розробка на Google Cloud
Розробка на Google Cloud: Cloud Run і GKE, BigQuery, бекенди на Firebase, Cloud SQL і AlloyDB, Gemini на Agent Platform, безпека та міграції. Надаємо виділених інженерів Google Cloud або виконуємо проєкт.
Консалтинг з Kubernetes
Консалтинг і розробка з Kubernetes: кластери в EKS, AKS, GKE та on-premises, Helm, GitOps з Argo CD або Flux, безпека кластерів, оновлення й GPU-навантаження. Надаємо виділених інженерів Kubernetes або виконуємо проєкт.
DevOps і CI/CD
Послуги з DevOps і CI/CD: пайплайни, інфраструктура як код на Terraform, спостережуваність, SRE та чергування on-call, DevSecOps, platform engineering і FinOps. Надаємо виділених інженерів DevOps і SRE або ведемо DevOps на постійній основі.
IT-інфраструктура
Послуги з IT-інфраструктури та системного адміністрування: сервери Windows і Linux, мережі, Microsoft 365 та Entra ID, віртуалізація, резервне копіювання й телеком. Надаємо виділених системних адміністраторів або постійну підтримку.
Site reliability engineering (SRE)
Послуги з інженерії надійності (site reliability engineering): SLO, спостережуваність на OpenTelemetry, чергування on-call і керування інцидентами, навантажувальне тестування, аварійне відновлення та chaos engineering. Надаємо виділених SRE-інженерів або виконуємо проєкт.
Platform engineering
Послуги з platform engineering: внутрішні платформи для розробників, портали Backstage, golden paths і шаблони, інфраструктура із самообслуговуванням та платформи на Kubernetes. Надаємо виділених інженерів із platform engineering або виконуємо проєкт.
Хмарна архітектура
Хмарна архітектура та консалтинг: проєктування рішень для AWS, Azure і Google Cloud, плани міграції, landing zone, огляди Well-Architected, відмовостійкість і витрати. Надаємо виділених хмарних архітекторів або виконуємо проєкт.
FinOps
FinOps та оптимізація витрат на хмару: розподіл витрат, підбір розмірів ресурсів (rightsizing), Savings Plans і резервування, витрати на Kubernetes, дані та AI, бюджети й сповіщення про аномалії. Надаємо виділених FinOps-інженерів або виконуємо проєкт.
Terraform та IaC
Terraform та інфраструктура як код: модулі Terraform і OpenTofu, імпорт наявних ресурсів, пайплайни plan і apply, контроль дрейфу, policy as code та Ansible. Надаємо виділених інженерів Terraform або виконуємо проєкт.
Адміністрування Linux
Адміністрування Linux: сервери Ubuntu, Debian, RHEL, Rocky Linux і AlmaLinux (налаштування, оновлення безпеки, hardening, моніторинг, резервне копіювання) та оновлення систем, що вийшли з підтримки. Надаємо виділених адміністраторів Linux або постійну підтримку.
Мережева інженерія
Послуги з мережевої інженерії: маршрутизація та комутація, фаєрволи, SD-WAN і доступ за принципом zero trust, мережі в хмарі, Wi-Fi й автоматизація на обладнанні Cisco, Juniper та Fortinet. Надаємо виділених мережевих інженерів або виконуємо проєкт.
Хмарна безпека
Послуги з безпеки хмари: CSPM і CNAPP, перевірки IAM, безпека Kubernetes, захист мережі та даних і відповідність вимогам у хмарі AWS, Azure та Google Cloud. Надаємо виділених інженерів із безпеки хмари або виконуємо проєкт.
SOC і моніторинг безпеки
SOC як послуга та моніторинг безпеки: керований SOC, розгортання SIEM, підключення логів, detection engineering, EDR, threat hunting і реагування на інциденти за ретейнером. Надаємо виділених SOC-аналітиків або моніторинг на постійній основі.
Відповідність стандартам безпеки
Відповідність вимогам безпеки та підготовка до аудиту: контролі ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 і DORA, gap-аналіз та докази для аудиту. Надаємо виділених інженерів із відповідності вимогам або виконуємо проєкт підготовки.
Запитання про кібербезпеку і тестування на проникнення
У яких галузях працюють ваші інженери з кібербезпеки?
Здебільшого це компанії, що створюють продукти для кібербезпеки: правила виявлення загроз, тестування продуктів і дослідження безпеки; фінтех і банки, під PCI DSS і DORA; промислові та енергетичні компанії, де мережі керування відокремлюють від офісної IT; e-commerce, який захищає оформлення замовлень і акаунти клієнтів; SaaS-компанії, що готуються до аудитів SOC 2 і перевірок безпеки з боку клієнтів; а також хостингові та телеком-провайдери й системи державного сектору.
Що містить звіт про тест на проникнення?
Резюме для керівництва, а далі кожна знахідка з рівнем критичності за CVSS, зазначенням системи, якої вона стосується, кроками відтворення, доказами та рекомендованим виправленням. Після того як ваша команда розгорне виправлення, повторний тест фіксує, які знахідки закрито.
Чи можете ви допомогти нам отримати сертифікацію ISO 27001 або SOC 2?
Сертифікат видає акредитований орган із сертифікації, а звіт SOC 2 незалежна аудиторська фірма, тож жоден підрядник не може пообіцяти ні того, ні іншого. Ми виконуємо технічну частину: впроваджуємо контролі, які перевірятиме аудитор, виправляємо прогалини, знайдені під час оцінки готовності, і тримаємо докази готовими до експорту.
Чи порушить тестування роботу наших продакшн-систем?
За замовчуванням ні. Тестування проходить на staging, якщо він є. Коли доводиться тестувати продакшн, це відбувається в узгоджене вікно, з узгодженою швидкістю, без деструктивних payload і з названою контактною особою з кожного боку.
Як швидко можуть стати до роботи інженери з кібербезпеки та пентестери?
Якщо відповідний інженер з кібербезпеки вільний, старт залежить лише від вашої співбесіди, NDA і передачі прав на інтелектуальну власність. Інакше ми проводимо пошук, який зазвичай дає профілі кандидатів за два-три тижні, і ніхто не починає роботу, доки ви не скажете «так».
Як найняти фахівців через BigTree108, якщо вам потрібні інженери з кібербезпеки та пентестери?
Розкажіть про роботу, рівень і години, які вам потрібні. Ми пропонуємо одну-двох людей з їхніми профілями, ви проводите з ними співбесіду так, як зі своїм власним кандидатом, підписуєте один договір із ТОВ «БІГ ТРІ 108» і отримуєте один рахунок на місяць.
Кому належать результати їхньої роботи?
Вам. Кожен фахівець має підписаний із BigTree108 договір, за яким усі результати роботи передаються компанії, а наш договір із вами передає їх далі. Код, дизайн-макети та документи постачаються у ваші власні репозиторії та інструменти, а не зберігаються там, де змінити їх можемо лише ми.
Потрібен тест на проникнення чи інженери з кібербезпеки?
Розкажіть, які системи входять в обсяг, де вони працюють і до якої дати аудиту ви готуєтеся. Ви отримаєте відповідь протягом одного робочого дня: запропонований обсяг робіт, план тестування або профілі кандидатів.