Offensive Security
Тестирование на проникновение и оценка безопасности под руководством экспертов с использованием агентного ИИ. Мы выясняем, что обнаружил бы злоумышленник в ваших системах, раньше него.
Сегодня “запустить сканирование” уже недостаточно. Как и традиционного пентеста.
Сайт, веб-приложение, SaaS-платформа или API могут выглядеть безупречно, скрывая при этом несанкционированный доступ, открытые данные и бизнес-логику, которую можно обойти. Задача не в том, чтобы бить тревогу, а в том, чтобы найти действительно важное и доказать это.
Дёшево, но вслепую
Не видят бизнес-логику и выдают множество ложных срабатываний. Оставляют сотни предупреждений и ноль уверенности в том, что действительно можно эксплуатировать
Тщательно, но медленно
Дорого и трудно масштабировать. Зависит от редкой экспертизы и сроков, которые мало кто может себе позволить.
Тщательно и масштабируемо
Глубина работы экспертной команды в сочетании со скоростью и охватом, которые делает возможными агентный ИИ. Каждый результат проверяется человеком.
Человек во главе. Красная команда в масштабе.
Каждый тест на проникновение проводится под руководством человека, под технической ответственностью нашей команды безопасности. Эксперт решает, что тестировать, и утверждает результаты; ИИ-агенты работают параллельно по всей поверхности атаки.
Пентестер у руля
Определяет стратегию, решает, что тестировать, интерпретирует контекст, отделяет реальные уязвимости от шума и подписывает отчёт. Машина исследует; человек решает.
Продвинутые агенты
Цепочки эксплойтов, анализ воздействия, многошаговые сценарии, облачные и мультитенантные среды, сложные API и критичные функции.
Старшие агенты
Авторизация, аутентификация, бизнес-логика, BOLA / IDOR, злоупотребление рабочими процессами и корреляция сигналов.
Младшие агенты
Разведка, картирование, конечные точки и параметры, чек-листы OWASP, известные ошибки конфигурации и повторяющиеся шаблоны.
Почему агентный ИИ
Независимые исследования на реальных сетях показывают, что агентные ИИ-фреймворки сопоставимы с сертифицированными пентестерами-людьми по охвату, но всё ещё уступают в способности к суждению — поэтому окончательное решение всегда остаётся за человеком. Источник: J. W. Lin et al., arXiv:2512.09882.
Одна услуга, вся ваша поверхность атаки
От веб-приложений до инфраструктуры, от моделей ИИ до исходного кода: один метод, шесть областей покрытия, соразмерных согласованному с вами объёму работ.
Web & SaaS
Сайты, порталы, веб-приложения и SaaS-платформы: аутентификация, авторизация, бизнес-логика, раскрытие данных.
API
REST, GraphQL и сервисы machine-to-machine: BOLA / IDOR, злоупотребление рабочими процессами, валидация входных данных и ограничение частоты запросов.
Мобильные приложения
iOS и Android по стандарту OWASP MASVS: локальное хранилище, коммуникации, защита на стороне клиента и подключённый бэкенд.
Инфраструктура & сеть
Внешний и внутренний периметр, облачные и мультитенантные поверхности, сегментация, ошибки конфигурации и открытые уязвимости.
Безопасность ИИ / LLM
Модели ИИ и приложения на базе ИИ: prompt injection, утечка данных, злоупотребление агентами, контроль инференса.
Безопасный анализ кода
Анализ кода с позиции атакующего: уязвимости на уровне исходного кода, зависимости и конвейер сборки.
Максимальная глубина, ноль импровизации
Мы используем продвинутые модели ИИ, ни при каких обстоятельствах не допуская передачи ваших данных в открытом виде. Каждый проект следует замкнутому циклу: данные поступают защищёнными, хранятся изолированно и удаляются по завершении работы. Ни при каких обстоятельствах данные клиентов не используются для обучения моделей.
Деидентификация
Хосты, учётные данные, идентификаторы и конфиденциальные ссылки псевдонимизируются до любой внешней обработки. Модели видят только анонимизированную версию.
Выделенная зашифрованная среда
Каждый клиент получает собственную зашифрованную изолированную среду, размещённую в облачной инфраструктуре в Италии, квалифицированной ACN. Доступ осуществляется только по сессионным токенам — никогда по постоянным учётным данным.
Уничтожение по окончании работ
После подтверждения получения отчёта среда уничтожается вместе со всеми данными, журналами и токенами. Сохраняется только минимальная запись об исполнении, необходимая для прослеживаемости, требуемой DORA и NIS2.
Отчёт, который может прочитать ваше руководство и по которому может действовать ваша техническая команда
- Каждая уязвимость подкреплена доказательствами: запрос и ответ, скриншоты, временная метка, критичность (CVSS 3.1) и воздействие.
- Чёткая граница между подтверждённым и тем, что ещё требует проверки. Никакого шума.
- Приоритеты устранения и конкретная основа для вашего плана исправлений.
- Доступны повторное тестирование и планы регулярной оценки для проверки исправлений с течением времени.
Методологии и фреймворки
Три модели. Один метод.
Та же цепочка командования, соразмерная вашей поверхности атаки и риску, который необходимо покрыть. Итоговая стоимость определяется согласованным объёмом работ.
Малый бизнес
Сайты-визитки, лендинги, сайты на WordPress, небольшие интернет-магазины, простые приложения или лёгкие API.
Средний бизнес
Цифровые платформы, сложные интернет-магазины, клиентские порталы, веб-системы управления бизнесом и корпоративные API с аутентификацией.
Крупный бизнес (Enterprise)
Корпоративные группы, сложные инфраструктуры, мультитенантные SaaS, экосистемы API и организации, подпадающие под требования NIS2 или DORA.
Фиксированного прайс-листа нет: каждый проект оценивается по его реальному объёму (периметр, глубина, ограничения). Свяжитесь с нами для получения предложения.
Регуляторы не спрашивают, есть ли у вас инструменты. Они требуют доказательств.
NIS2, DORA, ISO/IEC 27001 и GDPR требуют доказательств, контроля и управления рисками. Документированный тест на проникновение — одна из самых конкретных форм доказательства, которую вы можете предоставить.
NIS2
Тестирование и оценка рисков в поддержку обязательств по безопасности и управлению инцидентами.
DORA
Цифровая операционная устойчивость: регулярное тестирование и полная прослеживаемость деятельности для финансового сектора.
ISO/IEC 27001
Доказательства в поддержку мер контроля системы менеджмента и процессов сертификации.
GDPR
Проверка технических мер защиты персональных данных и снижение риска утечек данных.
Люди, которые принимают решения, технологии, которые масштабируются
Услугу оказывает команда пентестеров и инженеров по безопасности, имеющих сертификаты в области наступательной безопасности и аудита, под координацией ведущего аудитора ISO/IEC 27001. Это та же культура безопасности и соответствия требованиям, которая позволила Magellano Tech получить сертифицированную интегрированную систему менеджмента.
Certified Offensive AI Expert (Hack The Box)
Наша команда обладает одной из первых в мире сертификаций HTB COAE и одной из первых в Италии: квалификацией по red teaming для ИИ, полученной в ходе 7-дневного практического проекта на реальной ИИ-инфраструктуре и завершившейся техническим отчётом коммерческого уровня. Именно эта экспертиза лежит в основе нашего тестирования систем ИИ и LLM и оркестрации наших наступательных агентов.
Софтверная компания, а не просто аудиторы
Мы создаём программное обеспечение, SaaS-платформы и решения на базе ИИ. Мы знаем код изнутри: когда мы тестируем приложение, мы знаем, где искать, потому что каждый день создаём подобные приложения.
Инфраструктура в облаке в Италии, квалифицированном ACN, с сертифицированными системами управления информационной безопасностью и ИИ. Соответствие требованиям — не дополнение, а наш способ работы.
Узнайте, что обнаружил бы злоумышленник, раньше него
Расскажите, что вам нужно защитить: мы вместе определим объём работ и покажем, как мы работаем, без каких-либо обязательств.