Нанять специалиста по тестированию на проникновение - напрямую, а не через агентство
Вы нанимаете человека, который делает работу, а не имя в коммерческом предложении. Сертификат OSCP+, более 6 лет в кибербезопасности, проекты с фиксированной ценой, удалённо по всему миру - вы говорите с тем, кто тестирует, а не с менеджером по работе с клиентами.
Называйте это тестированием на проникновение, этичным хакингом, наступательным тестированием безопасности или проектом Red Team - работа одинаково строгая, а отчёт написан понятным языком.
На что смотреть, когда нанимаете специалиста по тестированию на проникновение
Не каждое «тестирование на проникновение» - одна и та же работа. Прежде чем нанимать кого бы то ни было - независимого специалиста или компанию - стоит проверить несколько вещей, которые отличают настоящую оценку от сканирования уязвимостей под новой вывеской:
- Ручное тестирование, а не только автоматическое сканирование. Спросите, какие инструменты используются и как проверяются находки. Отчёт, состоящий исключительно из неподтверждённого вывода сканера, полностью упускает ошибки бизнес-логики и связанные цепочки атак.
- Названный поимённо и проверяемый специалист. Сертификаты должны проверяться независимо: у OSCP/OSCP+, eCPPT, OSWE и подобных есть публичная верификация. Попросите ссылку на кошелёк сертификатов до того, как что-либо подпишете.
- Фиксированные объём работ и цена в письменном виде до начала тестирования, а не открытая почасовая схема, способная выйти за рамки бюджета.
- Отчёт, рассчитанный на две аудитории: резюме, по которому может действовать руководство, и технический раздел, который ваши инженеры действительно смогут реализовать.
- Подписанное соглашение о неразглашении и правила проведения работ, точно определяющие, что именно разрешено, - до начала любого тестирования.
Независимый специалист или агентство: в чём действительно выбор
Агентства дают глубину состава и структуру поддержки - это полезно в очень крупных проектах с несколькими командами. Но для одного приложения, оценки сети или проверки Active Directory такая структура чаще всего лишь добавляет управленческий слой между вами и тем, кто реально делает работу, плюс наценку, которая его оплачивает.
Нанять напрямую - значит, что человек на созвоне об объёме работ и есть тот, кто тестирует ваши системы и пишет ваш отчёт: никакой передачи дел, никакого размытого контекста, никакого младшего специалиста, закрывающего собой работу, под которой подписывается опытное имя. Это означает и более короткие сроки: не нужно согласовывать график внутри команды и передавать вопросы через менеджера посреди проекта.
Почему cybershells.com
- 8 сертификатов, проверяемых независимо: OSCP/OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200, SC-300
- Опыт в инженерии обнаружения: тестирование идёт так, как двигаются настоящие злоумышленники, потому что тот, кто тестирует, раньше писал правила обнаружения, призванные их ловить
- Публикующийся исследователь безопасности - по приёмам фишинга и злоупотреблению доверенной инфраструктурой
- Открытая методика: Arsenal - это тот же справочный материал, который используется в реальных проектах, опубликованный открыто, а не спрятанный в чёрный ящик
- Фиксированная цена, зафиксированная письменно до начала тестирования - см. цены
Доступные услуги
Вопросы о найме
Начните с бесплатного разговора об объёме работ - 30 минут, чтобы пройтись по вашей среде, целям и любым требованиям соответствия. В течение 24 часов вы получите письменное предложение с точным объёмом работ, фиксированной ценой и графиком. Для старта закупочные процедуры не нужны, хотя я с готовностью поработаю в рамках ваших, если они есть.
У независимого специалиста тот, кто определяет объём работ, и есть тот, кто ведёт проект и пишет отчёт: никакого менеджера по работе с клиентами и никакого младшего специалиста, делающего реальную работу, пока в предложении стоит опытное имя. Обычно это означает более короткие сроки, прямое общение на всём пути и цену без наложенной сверху агентской наценки.
И с теми, и с другими. Проекты варьируются от теста одного приложения для стартапа на ранней стадии до полных оценок Active Directory для более крупных сред. Цена масштабируется от объёма работ, а не от размера вашей компании.
Да. Каждый проект начинается с взаимного соглашения о неразглашении и подписанного документа с правилами проведения работ. Анкеты поставщиков и стандартный рамочный договор оформляются в рамках подключения - пришлите их на этапе обсуждения объёма.
Примерное понимание того, что входит в объём работ (приложение, сеть, Active Directory), ориентировочный масштаб (роли пользователей, число хостов, сложность домена) и любой срок, под который вы работаете, - например, дата аудита на соответствие. Если пока неясно - ничего страшного: разговор об объёме закроет пробелы.
Да, полностью удалённо, с клиентами в Великобритании, Европе, на Ближнем Востоке и по всему миру. База - Амман, Иордания (GMT+3), рабочие часы подстраиваются под вашу команду.
Поговорите с тем, кто и будет делать работу
Бесплатное обсуждение объёма работ, предложение с фиксированной ценой в течение 24 часов.