Πλατφόρμα πληρωμών από την Αθήνα
Μια νεοφυής fintech που επεξεργάζεται συναλλαγές χρειάζεται περιοδικό pentest στο API πληρωμών πριν από κάθε μεγάλη έκδοση, με ξεχωριστό έλεγχο στη ροή authentication.
Penetration testing και έλεγχος ευπαθειών
CyberSecurity · Ελλάδα
Ευρήματα βαθμολογημένα με CVSS και EPSS
Penetration testing και έλεγχος ευπαθειών για ελληνικές ομάδες που θέλουν να ξέρουν πού πραγματικά κινδυνεύουν, όχι μόνο τι λέει ένας αυτόματος σαρωτής. Καλύπτουμε web εφαρμογές, API και υποδομή με μεθοδολογία OWASP Top 10 και API Security Top 10, κάθε εύρημα επικυρωμένο από άνθρωπο πριν φτάσει στο τελικό σου report.
- Retest με αποδεικτικά στοιχεία, όχι απλή δήλωση
- Ώρες CyberSecurity ήδη μέσα στο πλάνο σου
- VPS 1–8 ώρες· dedicated 5–10 ώρες ανάλογα με το πλάνο· GPU 10 ώρεςΏρες CyberSecurity/μήνα
- Φρανκφούρτη, εντός ΕΕDatacenters
- σε EUR, με ΦΠΑ 24% διαχωρισμένο στο τιμολόγιοΧρέωση
- στα ελληνικά και στα αγγλικάΥποστήριξη
Τι καλύπτει ο έλεγχος
Ξεκινάμε από το scope που έχει σημασία για εσένα: web εφαρμογή, API ή δικτυακή υποδομή, ξεχωριστά ή μαζί. Στο web και στο API ελέγχουμε συστηματικά το OWASP Top 10 και το API Security Top 10 — authentication, authorization, injection, exposed endpoints, misconfigurations. Στην υποδομή ελέγχουμε servers, firewall rules και εκτεθειμένες υπηρεσίες. Κάθε εύρημα συνοδεύεται από στιγμιότυπο, βήματα αναπαραγωγής και πρόταση διόρθωσης, ώστε η ομάδα ανάπτυξής σου να μπορεί να δράσει άμεσα χωρίς επιπλέον ερωτήσεις.
- Web εφαρμογές: OWASP Top 10, business logic, session management
- API: authentication, authorization ανά endpoint, rate limiting
- Υποδομή: εκτεθειμένες υπηρεσίες, firewall, TLS configuration
Πώς άλλαξε το πεδίο με τα μοντέλα AI
Οι επιτιθέμενοι χρησιμοποιούν πλέον AI agents για αναγνώριση στόχων και fuzzing σε κλίμακα, οπότε το παράθυρο ανάμεσα στη δημοσίευση μιας αδυναμίας και στην πρώτη πραγματική απόπειρα εκμετάλλευσης έχει συρρικνωθεί σε ώρες, όχι εβδομάδες. Γι' αυτό δεν κάνουμε μόνο ένα εφάπαξ pentest ετησίως: προτείνουμε περιοδικό ή συνεχή έλεγχο, ανάλογα με το ρυθμό των releases σου, ώστε ένα endpoint που άνοιξε την περασμένη εβδομάδα να μην περιμένει τον επόμενο ετήσιο κύκλο για να ελεγχθεί.
Πώς αξιολογούμε κάθε εύρημα
Κάθε αδυναμία παίρνει βαθμολογία CVSS για τη σοβαρότητά της και σκορ EPSS για την πιθανότητα να χρησιμοποιηθεί πραγματικά, ώστε να ιεραρχείς τις διορθώσεις με βάση ρίσκο και όχι με βάση την αλφαβητική σειρά ενός εργαλείου. Φιλτράρουμε χειροκίνητα τα false positives πριν φτάσουν στο report σου — αν κάτι δεν είναι πραγματικά εκμεταλλεύσιμο στο περιβάλλον σου, δεν εμφανίζεται ως εύρημα υψηλής προτεραιότητας. Μετά τη διόρθωση κάνουμε retest με νέο αποδεικτικό στοιχείο, όχι απλή επιβεβαίωση στα λόγια.
Πώς χρησιμοποιείς τις ώρες σου
Οι ώρες CyberSecurity είναι ήδη μέρος του πλάνου σου: 1–8 ώρες το μήνα σε VPS, 5–10 ώρες σε dedicated servers ανάλογα με το πλάνο και 10 ώρες σε GPU servers. Ζητάς τον έλεγχο από το πάνελ πελάτη, στην ενότητα Υπηρεσίες CyberSecurity, προτείνεις scope και προθεσμία, και εμείς σχεδιάζουμε τον κύκλο ελέγχου γύρω από τα δικά σου releases. Οι ώρες δεν μεταφέρονται στον επόμενο μήνα, οπότε τις κατανέμουμε σκόπιμα: ένας πλήρης έλεγχος σε μια περίοδο, retest σε μια άλλη.
Κάθε συνδρομή περιλαμβάνει μηνιαίες ώρες DevOps, Κυβερνοασφάλειας και Προγραμματισμού: 1 ώρα από το πακέτο cPanel Advanced και πάνω, 1–8 ώρες σε VPS και 5–10 ώρες σε αποκλειστικούς διακομιστές ανάλογα με το πλάνο και 10 ώρες σε GPU. Οι ώρες ζητούνται από τον πίνακα πελάτη, δεν μεταφέρονται στον επόμενο μήνα, και ό,τι ξεπερνά το όριο γίνεται δεκτό και χρεώνεται ξεχωριστά.
Περιπτώσεις χρήσης
Eshop με εποχικότητα πριν τα Χριστούγεννα
Ένα ηλεκτρονικό κατάστημα με αιχμή πωλήσεων το τέταρτο τρίμηνο προγραμματίζει τον κύριο έλεγχο ευπαθειών νωρίς το φθινόπωρο, ώστε οι διορθώσεις να έχουν κλείσει πριν την αιχμή.
Ξενοδοχειακή αλυσίδα με booking engine
Μια μονάδα φιλοξενίας στη Θεσσαλονίκη με δικό της σύστημα κρατήσεων ελέγχει τακτικά τη ροή πληρωμής και τα δεδομένα πελατών που περνούν μέσα από αυτήν.
Πώς δουλεύουμε
Ζητάς τον έλεγχο από το πάνελ
Ανοίγεις αίτημα στην ενότητα Υπηρεσίες CyberSecurity, περιγράφεις την εφαρμογή ή την υποδομή και προτείνεις προθεσμία γύρω από το release σου.
Ορίζουμε scope και μεθοδολογία
Συμφωνούμε τι ακριβώς ελέγχεται, ποια εργαλεία και ποια χειροκίνητη επικύρωση θα χρησιμοποιηθούν, και πόσες ώρες από τη μηνιαία σου κατανομή θα χρειαστούν.
Εκτελούμε τον έλεγχο
Συνδυάζουμε αυτοματοποιημένη σάρωση με χειροκίνητη εξερεύνηση, επικυρώνουμε κάθε εύρημα και το βαθμολογούμε με CVSS και EPSS πριν το τεκμηριώσουμε.
Παραδίδουμε report και κάνουμε retest
Λαμβάνεις αναλυτικό report με βήματα αναπαραγωγής και προτάσεις διόρθωσης, και μετά τη διόρθωση επιβεβαιώνουμε με νέο retest και αποδεικτικά στοιχεία.
Τεχνολογίες
- Burp Suite
- OWASP ZAP
- Nmap
- Nuclei
- Metasploit
- Semgrep
- CVSS v4
- EPSS
Συχνές ερωτήσεις
Τι περιλαμβάνει ένας έλεγχος ευπαθειών;
Περιλαμβάνει αυτοματοποιημένη σάρωση, χειροκίνητη εξερεύνηση στο scope που έχει οριστεί (web, API ή υποδομή), επικύρωση κάθε ευρήματος από άνθρωπο, βαθμολόγηση με CVSS και EPSS, αναλυτικό report με βήματα αναπαραγωγής και, μετά τη διόρθωση, retest με νέο αποδεικτικό στοιχείο.
Πόσο συχνά πρέπει να γίνεται penetration testing;
Εξαρτάται από το ρυθμό αλλαγών σου. Μια εφαρμογή που βγάζει εκδόσεις κάθε λίγες εβδομάδες χρειάζεται περιοδικό ή συνεχή έλεγχο στα κρίσιμα σημεία, όχι μόνο έναν ετήσιο. Μια πιο στατική υποδομή μπορεί να αρκεστεί σε έναν πλήρη έλεγχο ετησίως, συν έλεγχο μετά από κάθε σημαντική αλλαγή.
Χρειαζόμαστε penetration testing αν είμαστε μικρή εταιρεία;
Αν επεξεργάζεσαι δεδομένα πελατών ή πληρωμές, ναι — το μέγεθος της ομάδας δεν μειώνει την έκθεσή σου. Ξεκινάμε με έλεγχο στο πιο κρίσιμο κομμάτι (π.χ. τη ροή σύνδεσης ή πληρωμής) και επεκτείνουμε το scope όταν η εφαρμογή μεγαλώνει.
Είναι υποχρεωτικό το pentest για συμμόρφωση με τη NIS2;
Για οντότητες που εμπίπτουν στη NIS2, ο τακτικός έλεγχος ευπαθειών είναι μέρος των αναμενόμενων μέτρων διαχείρισης κινδύνου, αν και το ακριβές πλαίσιο εξαρτάται από τον κλάδο σου. Τεκμηριώνουμε κάθε κύκλο ελέγχου ώστε να μπορείς να τον παρουσιάσεις σε έναν έλεγχο συμμόρφωσης.
Τι διαφορά έχει το penetration testing από ένα απλό vulnerability scan;
Το scan εντοπίζει πιθανές αδυναμίες αυτόματα και συχνά επιστρέφει false positives. Το pentest πηγαίνει παραπέρα: επιχειρεί πραγματική εκμετάλλευση, συνδυάζει ευρήματα σε αλυσίδες επίθεσης και επικυρώνει χειροκίνητα κάθε αποτέλεσμα πριν εμφανιστεί στο report.
Πώς γίνεται το retest μετά τις διορθώσεις;
Επαναλαμβάνουμε συγκεκριμένα το κομμάτι που διορθώθηκε, με το ίδιο σενάριο εκμετάλλευσης που χρησιμοποιήσαμε αρχικά, και τεκμηριώνουμε αν η αδυναμία έκλεισε πραγματικά ή απλώς μετακινήθηκε. Το retest είναι μέρος του ίδιου κύκλου, όχι ξεχωριστή χρέωση εκτός των ωρών σου.
Θέλεις να ξέρεις πού κινδυνεύεις πραγματικά;
Περίγραψέ μας την εφαρμογή ή την υποδομή σου και σχεδιάζουμε τον κύκλο ελέγχου γύρω από τα releases σου, με τις ώρες που έχεις ήδη στο πλάνο.