Аудит кода и DevSecOps
Проверяем код и процесс выпуска ПО. Встраиваем проверки безопасности в ежедневную работу разработчиков, чтобы выявлять опасные ошибки раньше.
01 / ПРОВЕРКА
Ручной анализ кода дополняем автоматическими проверками. Изучаем контроль доступа, секреты, сторонние зависимости и CI/CD — сборку и выпуск приложения. Исправления связываем с рабочим процессом разработчиков и требованиями к релизам.
ПРАКТИЧЕСКИЕ СЦЕНАРИИ / TTP
TTP — тактика атакующего, используемые техники и процедуры. Мы анализируем эти подходы и подбираем сценарии под вашу среду и письменно согласованный объём. Связываем результат каждой проверки с практическими рекомендациями по защите.
Прослеживаем путь внешних данных до значимого действия. Вручную изучаем права доступа, ввод и бизнес-логику. Автоматические находки SAST подтверждаем по реальному пути исполнения и объясняем разработчику в контексте файла и компонента.
Проверяем состав зависимостей SBOM, хранение секретов, сборочные агенты и доступ к артефактам. Оцениваем влияние скомпрометированной зависимости или избыточных прав автоматизации на релиз. Предлагаем исправления подписания, согласования и разделения доступа.
DAST — проверка работающего приложения — учитывает API и роли доступа. В объём могут входить образы контейнеров, сервисные аккаунты и конфигурация окружения. Результаты делим на критичные препятствия релизу, плановые задачи и критерии повторной проверки.
02 / РЕЗУЛЬТАТ
Работаем на основании письменного разрешения владельца, договора и соглашения о конфиденциальности. До начала определяем активы, методы, сроки, условия остановки и порядок хранения данных.
Отправьте задачу через CyberTrust. Мы уточним число активов, глубину проверки и ожидаемый результат, а сроки и стоимость укажем в предложении.