AI Pentest

Щоб замовити пентест, необхідно заповнити форму на сайті та узгодити короткий дзвінок із командою A42 для деталізації запиту. Комунікація можлива як до, так і після заповнення форми, однак ми рекомендуємо спочатку провести дзвінок із командою, а вже потім заповнювати форму.

У формі потрібно вказати кількість доменів, субдоменів, API-ендпоінтів і ролей користувачів, а також обрати тип тестування (BlackBox, GreyBox або WhiteBox) і додаткові параметри сервісу. Це дозволяє точно розрахувати вартість і зафіксувати всі ключові параметри послуги.

Після отримання заявки ми технічно визначаємо фактичну кількість субдоменів для стандартного пентесту і виділяємо ті, що потребують глибокого тестування на вразливості. На основі цих даних формуємо комерційну пропозицію та надсилаємо її на погодження і підписання.

Від підписання угоди та оплати до отримання фінального звіту зазвичай проходить чотири дні.

Мінімальна вартість пентесту від A42 становить $1 000. Цей пакет включає AI-тестування одного домена і до 50 субдоменів, два з яких проходять глибоке тестування на вразливості, а також до 100 API URL та до 4 ролей. Підсумкова вартість може змінюватися залежно від масштабу проєкту та додаткових параметрів, таких як додаткові субдомени, повторне тестування тощо.

Весь обсяг робіт фіксуються в комерційній пропозиції, що дозволяє нам сформувати точну ціну пентесту для вашого бізнесу.

Ні, $1 000 — це мінімальна ціна.

Потрібно вказати приблизну кількість. Точну кількість ми знайдемо технічними засобами і повідомимо вас. Саме ці дані будуть використані як основа для розрахунку вартості послуги.

AI Pentest може тестувати:

• веб-ресурси та застосунки
• IT-інфраструктуру
• хмарні сервіси та віртуалізацію
• аналіз захищеності коду (Secure Code Review)

На основі тестування цих середовищ ми надаємо клієнтам:

• Карту залежностей (Dependency Map)
• Виявлення секретів (Secret Detection)

Отримавши домен від клієнта для аналізу, наш скрипт проводить швидке технічне дослідження і знаходить всі існуючі субдомени.

Для всіх виявлених субдоменів виконується стандартний перелік робіт:

• пасивна розвідка
• ШІ-активна розвідка
• автоматизований аудит безпеки
• пошук вразливостей за допомогою ШІ

Глибока фаза включає в себе технічне тестування на основі ШІ. Наші ШІ-агенти відтворюють дії досвідченої червоної команди (Red Team), працюючи за заздалегідь визначеною методологією.

Якщо ви хочете отримати деталізацію операцій, напишіть нам.

Так, ви можете обрати субдомени для глибокого пентесту. Спочатку ми проводимо пошук усіх активних субдоменів і наш ШІ-агент ранжує їх за рівнем критичності з рекомендаціями щодо пріоритетних для глибокої розвідки. Цей список ви отримуєте разом із комерційною пропозицією, після чого можете або погодити наші рекомендації, або обрати інші субдомени на власний розсуд.

Зверніть увагу, що базовий пакет включає глибоку розвідку двох субдоменів, при цьому їх кількість можна збільшити за запитом із відповідним розрахунком вартості.

Глибоке тестування необхідне для субдоменів із високим ступенем критичності та складною бізнес-логікою. Це актуально, якщо через субдомен проходять фінансові транзакції, персональні дані користувачів або він інтегрований із внутрішніми системами компанії.

Автоматизація пентестів за допомогою ШІ вже є критичною потребою ринку. Це зумовлено зростанням кількості загроз і обсягів розробки: хакери активно використовують ШІ, а швидкість випуску нових продуктів постійно росте, що підвищує попит на регулярні перевірки безпеки.

Водночас дефіцит досвідчених спеціалістів залишається суттєвим обмеженням: фахівців рівня Senior на ринку недостатньо, а їхні послуги є значно дорожчими. Більшість спеціалістів — це Middle та Junior, і багато задач, які вони виконують, вже можуть бути автоматизовані. Крім того, знання методологій і типових схем атак, що є ключовою перевагою Senior-фахівців, можуть бути формалізовані та реалізовані в алгоритмах, на основі яких працює AI-оркестратор. Саме за таким принципом побудований AI Pentest від A42.

По-друге, це швидкість. ШІ виконує задачі значно швидше за людину, скорочуючи час перевірки з тижнів до днів.

Нарешті, це ціна. Автоматизація дозволила нам значно знизити вартість пентесту у порівнянні з ручною роботою при збереженні якості результатів для кожного клієнта.

По-перше, AI Pentest від A42 починається з пошуку субдоменів класичними інструментами, які дозволяють знайти навіть ті субдомени, про які клієнт може не пам'ятати.

По-друге, в AI Pentest від A42 закладена реальна методологія пентесту з понад 100 методів атак, яку використовують фахівці топового рівня під час реальних пентестів. Різні види тестування виконуються за допомогою спеціалізованих ШІ-агентів, які дозволяють робити відповідні процеси швидше і виконувати різні операції паралельно.

Якщо ви хочете дізнатись в деталях методологію тестування перед замовленням, забронюйте ознайомчий дзвінок з командою A42.

Весь цикл робіт — від підписання контракту і оплати до надання фінального звіту — триває чотири робочі дні.

Це різні види робіт. Сканер вразливостей автоматично виявляє потенційні слабкі місця, а пентест перевіряє, чи можна їх реально використати для злому системи.

При цьому сканери вразливостей часто дають багато хибних спрацювань (60–80%) і не перевіряють бізнес-логіку або складні ланцюги атак. Вони також не формують звіти для аудиту.

AI Pentest від A42 об'єднує знайдені вразливості в реальні сценарії атак, підтверджує їх робочими proof-of-concept і формує PDF-звіт, який може бути використаний для отримання комплаєнсу.

Ефективність ШІ-пентесту залежить від методології, за якою він працює. Простіше кажучи, не кожен ШІ-пентест на ринку — це продукт, який здатен забезпечити високу якість тестування. Сервіси, побудовані суто на використанні промптів, дійсно не здатні проводити тестування настільки ж ефективно, наскільки це робить людина.

AI Pentest від A42 працює за методологією, яка була перевірена в державному та оборонному секторах, на реальних продуктах, якими сьогодні користуються мільйони українців. Тому наші клієнти можуть отримати такий самий рівень тестування, як провідні державні сервіси, і завдяки ШІ це коштуватиме значно дешевше.

Так, наші звіти можна використовувати при проходженні комплаєнсу відповідно до вимог ISO 27001, HIPAA, PCI DSS, DORA.

Наш продукт — оптимальне рішення у тому числі для компаній, які не мають ресурсів для ручного тестування: він значно швидший і в рази дешевший, водночас ефективно виявляє критичні вразливості. Ця методологія довела свою ефективність в сервісах державного та воєнного секторів.

Ми рекомендуємо використовувати його після кожного деплою, щоб гарантувати відсутність критичних вразливостей у продукті.

Якщо компанія має достатні ресурси та хоче додатково отримати перевірку від людини, так званий «другий погляд», вона може проводити ручний пентест, наприклад, раз на рік.

Ретест може бути замовлений окремо як додаткова опція.

На відміну від стандартної практики, де ретест зазвичай обмежується перевіркою вже виявлених вразливостей, A42 проводить повний ретест домену, тому він винесений в окрему опцію. Такий підхід пов'язаний з нашою політикою якості. Практика показує, що під час усунення одних проблем можуть з'являтися нові, тому точкова перевірка не завжди відображає реальний стан безпеки.

Саме тому ми пропонуємо повний ретест зі знижкою 50%, щоб клієнт отримував впевненість у фінальному результаті.

Proof-of-concept (PoC) означає, що кожна знайдена вразливість підтверджується робочим експлойтом, а не лише оцінкою за CVSS. Це мінімізує хибні знахідки.

Розробники можуть швидко відтворити проблему, аудитори отримують реальне підтвердження ризику, а керівництво — чітку картину замість великого обсягу формальних даних.