Sunceva
Качество, стандарты исследований
Мы уверены, что обмениваясь знаниями можно улучшить свои навыки и знания. Поэтому мы активно пользуемся общепризнанными в мире практиками по информационной безопасности.
Мы используем системный подход к проведению тестирований. В зависимости от области тестирований (веб приложение, инфраструктура, мобильное приложение и др.), условий, специфики (банковская сфера, финансовые организации и т.д.) мы применяем соответствующие практики и стандарты.
Практики и стандарты
Некоторые примеры используемых практик и стандартов:
• OWASP Application Security Validation Standard (ASVS) для веб приложений;
• Публикации OWASP, такие как Top 10, OWASP Application Security Testing Guide;
• SANS-top 25: самые распространенные и самые опасные ошибки при создании программного обеспечения;
• CIS-baselines для тестирований инфраструктуры и конфигураций;
• The OWASP Testing Guide версиий 3 и 4 вместе с OWASP Web Service Security Cheat Sheet;
• M-ASVS для мобильных приложений (Mobile ASVS);
• STRIDE методология в моделировании угроз;
• OWASP Mobile Top 10;
• Актуальная информация от вендоров ПО: Google, Apple, Amazon, Microsoft и так далее.
• OWASP Application Security Validation Standard (ASVS) для веб приложений;
• Публикации OWASP, такие как Top 10, OWASP Application Security Testing Guide;
• SANS-top 25: самые распространенные и самые опасные ошибки при создании программного обеспечения;
• CIS-baselines для тестирований инфраструктуры и конфигураций;
• The OWASP Testing Guide версиий 3 и 4 вместе с OWASP Web Service Security Cheat Sheet;
• M-ASVS для мобильных приложений (Mobile ASVS);
• STRIDE методология в моделировании угроз;
• OWASP Mobile Top 10;
• Актуальная информация от вендоров ПО: Google, Apple, Amazon, Microsoft и так далее.
Команда пентестеров Sunceva, которая выполняет работы в рамках услуги оценка уязвимости и тестирование на проникновение регулярно повышает свои профессиональные навыки и имеют по несколько сертифкатов, таких как: OSWE, OSEP, OSCP, OSCE и т.д. Ниже приведено описание наиболее актуальных для области информационной безопасности сертификатов.
Сертификация
Сертифицированные OSWE специалисты обладают четким и практическим пониманием оценки и безопасности веб-приложений по принципу «белого ящика». Они доказали свою способность просматривать расширенный исходный код в веб-приложениях, выявлять уязвимости и использовать их. Они могут помочь командам веб-разработчиков создавать и поддерживать веб-приложения, которые являются безопасными по своей конструкции.
Специалист OSWE может:
• Выполнять расширенный аудит исходного кода веб-приложений;
• Анализировать код, писать сценарии и использовать веб-уязвимости;
• Реализовать сложные цепные атаки с использованием нескольких уязвимостей;
• Использовать творческое и нестандартное мышление для определения инновационных способов использования веб-уязвимостей.
Специалист OSWE может:
• Выполнять расширенный аудит исходного кода веб-приложений;
• Анализировать код, писать сценарии и использовать веб-уязвимости;
• Реализовать сложные цепные атаки с использованием нескольких уязвимостей;
• Использовать творческое и нестандартное мышление для определения инновационных способов использования веб-уязвимостей.
Сертифицированные OSEP специалисты обладают навыками и опытом, необходимыми для проведения тестов на проникновение в защищенные системы. Они доказали свою способность выявлять более эффективные возможности для вторжений и выполнять сложные, организованные атаки контролируемым и целенаправленным образом. Они могут оценивать системы и выполнять тесты на проникновение на более высоком уровне, чем OSCP.
Специалист OSEP может:
• Выполнять обход защит безопасности;
• Выполнять сложные атаки, избегая обнаружения;
• Взламывать системы, настроенные с учетом требований безопасности.
Специалист OSEP может:
• Выполнять обход защит безопасности;
• Выполнять сложные атаки, избегая обнаружения;
• Взламывать системы, настроенные с учетом требований безопасности.
Сертифицированные OSCE специалисты обладают навыками тестирования на проникновение на экспертном уровне. Они доказали, что могут создавать свои собственные эксплойты, выполнять атаки для компрометации систем и получать административный доступ. Интенсивный 48-часовой экзамен также демонстрирует, что OSCEs обладают настойчивостью, решимостью и способностью работать под давлением выше среднего.
Специалист OSCE может:
• Выполнять отладку двоичных файлов Windows;
• Решать проблемы с кодировкой и ограничениями по пространству при создании эксплойтов;
• Использовать структуру PE, чтобы изучить методы, которые скрывают исполняемые файлы и обходят AV;
• Использовать творческое и нестандартное мышление, чтобы получить расширенное представление стандартных векторов;
• Думать нестандартно, чтобы определить инновационные способы проникновения во внутренние сети.
Специалист OSCE может:
• Выполнять отладку двоичных файлов Windows;
• Решать проблемы с кодировкой и ограничениями по пространству при создании эксплойтов;
• Использовать структуру PE, чтобы изучить методы, которые скрывают исполняемые файлы и обходят AV;
• Использовать творческое и нестандартное мышление, чтобы получить расширенное представление стандартных векторов;
• Думать нестандартно, чтобы определить инновационные способы проникновения во внутренние сети.
Сертифицированные OSCP специалисты продемонстрировали способность использовать настойчивость, творческий подход и проницательность для выявления уязвимостей и проведения организованных атак в сжатые сроки. Владельцы OSCP также продемонстрировали, что они могут мыслить нестандартно, управляя временем и ресурсами.
Специалист OSCP может:
• Использовать методы сбора информации для выявления и перечисления целей, работающих под управлением различных операционных систем и служб.
• Писать сценарии и инструменты, помогающие в процессе тестирования на проникновение
• Анализировать, исправлять, модифицировать, кросс-компилировать и портировать общедоступный код эксплойта.
• Проводить удаленное, локальное повышение привилегий и атаки на стороне клиента
• Выявлять и использовать уязвимости XSS, SQL-инъекций и включения файлов в веб-приложениях.
• Использовать методы туннелирования для переключения между сетями
Специалист OSCP может:
• Использовать методы сбора информации для выявления и перечисления целей, работающих под управлением различных операционных систем и служб.
• Писать сценарии и инструменты, помогающие в процессе тестирования на проникновение
• Анализировать, исправлять, модифицировать, кросс-компилировать и портировать общедоступный код эксплойта.
• Проводить удаленное, локальное повышение привилегий и атаки на стороне клиента
• Выявлять и использовать уязвимости XSS, SQL-инъекций и включения файлов в веб-приложениях.
• Использовать методы туннелирования для переключения между сетями
Остались вопросы?
Если у вас остались вопросы, то можете заполнить форму, оставив свои контактные данные и мы свяжемся с вами
в ближайшее время. Консультация бесплатна.
в ближайшее время. Консультация бесплатна.
Узнайте больше об оценке уязвимости и пентесте
Получить бесплатную консультацию
Проверьте безопасность своего бизнеса прямо сейчас
Получить бесплатную консультацию
Проверьте безопасность своего бизнеса прямо сейчас