УЯЗВИМОСТИ, ПЕНТЕСТ И HARDENING
Аудит безопасности
вашего сайта
Профессиональный аудит безопасности веб-сайтов: поиск уязвимостей, вирусов, бэкдоров и скрытых шеллов. Симуляция атак (пентест), настройка защиты и веб-сервера.
КОД
СЕРВЕР
УЯЗВИМОСТИ
SAST / DAST
ПЕНТЕСТ
HARDENING
найденных уязвимостей
РИСКИ
ПРОВЕРКА
ЗАЩИТА
проектов
студии
моделей
Premier Partner
маркетинг, аналитика
Защитите ваш бизнес от взломов, вирусов и утечки данных
Большинство владельцев сайтов задумываются о безопасности только тогда, когда сайт уже взломан: на страницах появляется спам-реклама, клиенты жалуются на утечку личных данных, а Яндекс и Google помечают сайт как опасный, мгновенно блокируя поисковый трафик. Взлом — это не случайность, а результат автоматического сканирования уязвимостей ботами, которые круглосуточно ищут устаревшие версии CMS, плагинов или незащищенные серверные порты.
Аудит безопасности веб-сайта от STARCODE — это превентивный удар по киберугрозам. Мы проводим полный комплекс проверок: от автоматического сканирования до ручного анализа кода и конфигурации веб-сервера. Мы выявляем скрытые бэкдоры (backdoors), шеллы, уязвимости к SQL-инъекциям, XSS и брутфорсу, помогая закрыть бреши до того, как о них узнают злоумышленники.
- Анализ исходного кода на наличие скрытых уязвимостей и инъекций
- Поиск вирусов, спам-скриптов, мобильных редиректов и бэкдоров
- Тестирование на проникновение (Pentest) с симуляцией действий хакеров
- Аудит настроек веб-сервера (Nginx/Apache/OLS), SSL и прав доступа к файлам
- Разработка детальных рекомендаций по защите (Hardening) и закрытию портов
30K+
Сайтов еженедельно попадают в черные списки поисковиков из-за вирусов и взломов
95%
Уязвимостей находятся в сторонних плагинах, темах оформления и конфигурациях серверов
24/7
Автоматическое сканирование ботами интернета в поисках уязвимых сайтов
100%
Конфиденциальность — мы подписываем жесткий договор NDA до получения доступов
Безопасность — процесс постоянный
Не существует «вечной» безопасности. Новые уязвимости (Zero-day) появляются каждый день. Аудит безопасности помогает понять текущие риски и выстроить систему защиты, которая минимизирует вероятность успешной атаки на ваш сайт.
Что мы делаем в рамках аудита безопасности
Мы сочетаем автоматизированный софт с ручным экспертным анализом кода и конфигурации серверов.
Двухуровневое тестирование (SAST/DAST)
Мы анализируем исходный код проекта в статическом режиме (SAST) на наличие уязвимостей OWASP Top-10 и жестко зашитых паролей. Затем проводим динамическое тестирование (DAST), имитируя атаки (пентест) на работающий сайт.
Это гарантирует обнаружение как архитектурных ошибок кода, так и багов настройки веб-сервера.
Поиск бэкдоров и скрытых шеллов
Вредоносный код редко лежит на поверхности. Хакеры прячут бэкдоры внутри легитимных файлов ядра CMS, обфусцируют код (кодируют в Base64) или внедряют в базу данных. Обычные хостинговые антивирусы их часто не замечают.
Мы сравниваем контрольные суммы файлов сайта с эталонными версиями и вручную вычищаем любые подозрительные скрипты.
Серверный аудит и Hardening
Уязвимость веб-сервера — самый легкий путь к перехвату управления всем сайтом. Мы проверяем версию операционной системы, открытые порты, конфигурацию веб-сервера Nginx/Apache/OpenLiteSpeed, права на запись файлов и настройки базы данных.
На основе этого мы даем четкие ТЗ по ужесточению настроек (Hardening), блокировке системных директорий и лимитам ресурсов.
Этапы аудита безопасности
Последовательный и безопасный анализ всей вашей инфраструктуры без прерывания работы сайта.
Подписание NDA и сбор данных
Подписываем соглашение о неразглашении конфиденциальной информации. Собираем доступы к хостингу, серверу (SSH), базе данных и CMS-панели под строгим контролем.
Сетевое сканирование
Проводим сканирование внешнего периметра (портов) сервера, проверяем корректность SSL-сертификата, настроек DNSSEC, заголовков безопасности HTTP (CSP, HSTS, X-Frame-Options).
Поиск вредоносного ПО
Сканируем файловую структуру сайта специализированным софтом на наличие троянов, шеллов, скрытых редиректов, спам-рассыльщиков. Проверяем целостность файлов ядра CMS.
Ручной аудит и симуляция атак
Имитируем атаки на формы обратной связи, авторизацию, поиск и корзину. Проверяем устойчивость сайта к SQLi, XSS, CSRF и попыткам обхода авторизации (Broken Authentication).
Анализ прав и конфигураций
Проверяем права доступа к файлам и папкам на сервере (CHMOD), настройки конфигурационных файлов CMS (wp-config, .htaccess и др.), уровни привилегий пользователей базы данных.
Отчёт и Hardening-инструкция
Формируем подробный отчет с описанием всех уязвимостей, классификацией рисков по шкале CVSS и пошаговой инструкцией по защите (Hardening). Презентуем отчет разработчикам.
Инструменты аудита и пентеста
Мы используем специализированный лицензионный софт и утилиты с открытым исходным кодом, признанные в сфере кибербезопасности.
OWASP ZAP & Nikto
Профессиональные сканеры уязвимостей для поиска SQL-инъекций, Cross-Site Scripting (XSS), небезопасных путей, ошибок конфигурирования серверов и заголовков.
Nmap & Maldet (LMD)
Nmap используется для аудита сетевых портов и служб сервера. Linux Malware Detect (Maldet) в связке с ClamAV сканирует файлы на сигнатуры бэкдоров, веб-шеллов и рекламных редиректов.
WPScan & CMS-Checkers
Специализированные сканеры для популярных CMS (WordPress, Bitrix, OpenCart), позволяющие сверять версии ядра и установленных модулей с международной базой данных известных уязвимостей (CVE).
— СТОИМОСТЬ
Тарифы аудита безопасности
Выберите формат проверки в зависимости от сложности и критичности вашего веб-ресурса.
| Возможности пакета | Базовый аудит Для контентных сайтов и лендингов 25 000 ₽ Срок: 3–5 дней Заказать | Популярный Комплексный пентест Для интернет-магазинов и B2B порталов 55 000 ₽ Срок: 7–10 дней Заказать | Аудит + Защита Полный аудит и закрытие всех уязвимостей 110 000 ₽ Срок: 14–20 дней Обсудить |
|---|---|---|---|
Сканирование на вирусы и вредоносный код |
Автоматическое | Автоматическое + Ручной разбор | Автоматическое + Ручной разбор |
Сетевой аудит и открытые порты |
✓ Базовый | ✓ Полный (Nmap) | ✓ Полный + блокировка портов |
Тестирование на проникновение (Пентест) |
— | Симуляция атак (SQLi, XSS, Brute) | Симуляция атак + аудит логики авторизации |
Анализ исходного кода (SAST) |
— | Ключевые файлы CMS и плагинов | Полный аудит кастомного кода |
Инструкция по защите (Hardening) |
Базовые рекомендации | Подробное ТЗ для разработчиков | Внедрение защиты под ключ силами STARCODE |
Настройка WAF (Cloudflare/DDoS) |
— | Рекомендации по настройке | ✓ Установка, настройка правил WAF |
Гарантийная поддержка |
— | 1 месяц консультаций | 3 месяца мониторинга + восстановление |
— ВОПРОСЫ И ОТВЕТЫ
Часто задаваемые вопросы по безопасности веб-сайтов
Здесь представлены ответы на частые вопросы. Помните: взлом сайта всегда обходится бизнесу дороже, чем своевременный аудит безопасности.
Задать вопрос-
Может ли аудит безопасности нарушить работу сайта?
Нет, все базовые сканирования и проверки проводятся в пассивном режиме и не создают избыточной нагрузки на сервер. Тесты на проникновение (активные попытки взлома) мы проводим либо на резервной копии сайта (staging-версии), либо в согласованное время минимальной посещаемости (например, ночью), чтобы полностью исключить сбои. -
Что такое бэкдор и почему его не видит антивирус на хостинге?
Бэкдор (backdoor) — это вредоносный скрипт, который злоумышленник внедряет в файловую структуру сайта, чтобы иметь постоянный доступ к серверу. Бэкдор часто маскируется под легитимный код (например, под функцию отправки почты или плагин авторизации) и не содержит явных сигнатур вирусов, из-за чего автоматические антивирусы хостинга его пропускают. Для его обнаружения требуется ручной анализ кода и сверка контрольных сумм. -
Как часто необходимо проводить аудит безопасности сайта?
Мы рекомендуем проводить аудит безопасности не реже одного раза в год, а также после крупных обновлений CMS, смены команды разработчиков или при интеграции новых сторонних сервисов (платежные шлюзы, CRM). Для высоконагруженных проектов и интернет-магазинов оптимально настроить постоянный мониторинг активности файлов. -
Какие доступы вам понадобятся для работы?
Для проведения полноценного аудита безопасности нам потребуются доступы к панели управления хостингом, серверу (SSH/SFTP), базе данных (MySQL) и административной панели CMS. Все доступы передаются в зашифрованном виде после подписания соглашения о неразглашении (NDA). По завершении работ мы настоятельно просим вас сменить все пароли.