Red Teaming
Полная симуляция целевой атаки, APT emulation и проверка процессов обнаружения и реагирования.
Проверяем защиту через реальные сценарии атаки
Команда Triadix проводит комплексные проверки приложений, инфраструктуры и процессов обнаружения. Мы определяем критичные сценарии вместе с заказчиком, вручную исследуем поверхность атаки и фиксируем подтверждённое влияние на бизнес-системы.
Четыре направления практической проверки
Формат подбирается под архитектуру, зрелость защиты и задачу организации: от точечной проверки приложения до эмуляции целевой атаки на компанию.
Web & API Security
Ручной поиск логических и технических уязвимостей в GraphQL, REST, OAuth и бизнес-логике.
Пентест инфраструктуры
Глубокая проверка внешнего и внутреннего периметра, сетей, облаков и Active Directory.
Source Code Review
Whitebox-анализ кода и архитектуры, SAST/DAST и развитие практик Secure SDLC.
Один сценарий от цели проверки до подтверждённого результата
До старта мы согласуем критичные активы, допустимые действия и критерии результата. Во время проекта команда развивает цепочки атаки вручную, проверяет влияние и сохраняет доказательства для разбора с техническими и управленческими командами.
Регулярная проверка защиты
Новые уязвимости и векторы атак появляются постоянно, поэтому практическая проверка становится повторяемым процессом внутри программы ИБ.
Связь техники и управления
Результаты проверки сразу переходят в рекомендации, задачи, повторную валидацию и решения по архитектуре защиты.
- 01
Определить цель
Согласовать бизнес-системы, сценарии угроз, область и правила проведения проверки.
- 02
Исследовать поверхность
Собрать технический контекст и определить наиболее значимые пути развития атаки.
- 03
Проверить влияние
Вручную подтвердить цепочки эксплуатации и их влияние в пределах согласованных ограничений.
- 04
Передать доказательства
Разобрать находки, приоритеты и технические меры вместе с ответственными командами.
Кейсы превращаются в изменения в защите
Публичные анонимизированные примеры показывают типы сценариев, которые команда подтверждала в приложениях, инфраструктуре и бизнес-логике.
Промышленность и КИИ, финтех и DeFi, геймдев, e-commerce, государственные, общественные и логистические сервисы.
Результат: Полная компрометация домена через ошибки конфигурации публичных сервисов и слабости аутентификации.
Дальнейшие шаги: Стратегия защиты внешнего периметра, усиление аутентификации и ограничение экспонированных сервисов.
Результат: Восстановлена цепочка атаки до эскалации привилегий доменного администратора; выявлены ошибки в доступах и журналировании.
Дальнейшие шаги: Зоны доверия, least privilege и регулярный мониторинг аномалий.
Результат: Найден критический баг, позволявший захватить аккаунт пользователя в один клик.
Дальнейшие шаги: Исправление цепочки уязвимостей на стороне клиента.
Результат: Выявлены сценарии фарма баллов через выбор категорий кешбэка и race condition при вступлении в клуб.
Дальнейшие шаги: Переработка архитектуры начислений и схем транзакционных операций.
Результат: Найдены ошибки в валидации данных и low-level вызовах, создававшие DoS и риски абузов баланса.
Дальнейшие шаги: Рефакторинг функций, строгая типизация, fail-safe механизмы и rollback-системы.
Результат: Реализованы сценарии DC Shadow и lateral movement через некорректно настроенные доверенные зоны.
Дальнейшие шаги: Обучение команд, усиление защиты AD, сегментация сети и настройка доверительных связей.
Результат: Утечка API-ключей позволяла злоупотреблять операциями, связанными с балансом.
Дальнейшие шаги: Безопасное хранение секретов, ревокация и ротация ключей.
Результат: Обнаружены два вектора захвата аккаунтов: open redirect с кражей OAuth-токена и XSS в SVG-аватаре.
Дальнейшие шаги: Переработка CORS-политик, проверок редиректов и фильтрации пользовательского контента.
Результат: Обнаружен Blind XSS, позволявший получить доступ к административной панели.
Дальнейшие шаги: Ужесточение Content Security Policy и серверная фильтрация пользовательских данных.
Результаты проверок можно включить в постоянный контур управления ИБ
Платформа связывает активы, находки, владельцев, задачи и подтверждение исправлений, чтобы работа с результатами продолжалась после завершения проекта.
Посмотреть возможности платформыОбсудим задачу и подходящий формат проверки
Опишите систему, контур или сценарий, который нужно проверить. Команда поможет определить область и формат проекта.