Pentest și audit de securitate în România

Ce testăm concret pe infrastructura ta

Un pentest la noi pornește de la ce rulează efectiv pe planul tău: aplicația web, API-urile publice, panourile de administrare, serverul și rețeaua din jurul lor. Acoperim OWASP Top 10 și OWASP API Top 10, plus configurarea serverului, versiunile expuse, drepturile pe fișiere și porturile deschise spre exterior. Testăm în ferestre convenite cu tine, ca traficul de producție să nu sufere. Fiecare rezultat este reprodus manual înainte să ajungă în raport, ca să nu pierzi timp cu fals pozitive.

• Aplicații web și API-uri, autenticate și neautenticate
• Infrastructură: servere, containere, servicii expuse
• Escaladare de privilegii și mișcare laterală în rețeaua internă
• Logica de business: coșuri, plăți, cote, roluri
• Verificarea backup-urilor și a accesului administrativ

Ce schimbă modelele AI în pentest

Atacatorii nu mai caută manual. Rulează agenți LLM și scanere automate care citesc un CVE nou-publicat, generează exploit-ul și îl încearcă pe internet în câteva ore. Fereastra dintre publicare și primele încercări s-a scurtat de la luni la ore, deci un pentest anual nu mai acoperă riscul. De partea apărării folosim aceleași unelte: recunoaștere automată, fuzzing asistat, triaj AI care grupează sute de semnale în câteva ipoteze. Concluziile le validează însă un om, cu dovadă reproductibilă, pentru că un agent care raportează plauzibil nu e același lucru cu un risc demonstrat.

Cum intră pentestul în abonamentul tău

Serviciul se cere din panoul de client, secțiunea „Servicii DevOps”, iar termenul îl propui tu. Un test țintit pe o aplicație mică, o rundă de retest sau remedierea a ce am găsit intră de obicei în orele incluse în plan: 1 h la cPanel de la Advanced, 1–8 h la VPS, 5–10 h la servere dedicate, în funcție de plan, și 10 h la GPU. Un pentest complet pe un ecosistem cu mai multe API-uri depășește cota, iar diferența se facturează separat, la oră, după ce o accepți. Orele nu se reportează în luna următoare.

Raport, retest și dosar pentru audit

Primești un raport în română: sumar pentru management, detaliu tehnic cu pași de reproducere, încadrare CVSS și prioritizare EPSS, plus remedierea recomandată pentru configurația ta reală. După ce echipa ta repară, retestăm și atașăm dovada. Dacă intri sub NIS2, transpusă în România prin OUG 155/2024 și ordinele DNSC, dosarul tehnic îți servește ca probă în audit; auditul formal îl semnează un auditor autorizat DNSC, din lista publică, iar noi livrăm partea tehnică și dovezile.

Cum lucrăm

1. Cererea din panou

   Deschizi o cerere în „Servicii DevOps” din panoul de client, descrii ținta (domenii, API-uri, servere) și propui termenul care îți convine.

2. Scoping și fereastră de test

   Stabilim împreună perimetrul, conturile de test, intensitatea și fereastra de execuție. Confirmăm în scris ce e în scop și ce rămâne în afara lui.

3. Execuția testului

   Testăm manual și cu unelte automate, reproducem fiecare rezultat și te anunțăm imediat dacă apare ceva critic, fără să aștepți raportul final.

4. Predare, remediere, retest

   Predăm raportul în română, discutăm prioritățile, ajutăm la remediere din orele incluse și retestăm ce s-a reparat, cu dovezi atașate.

Cazuri de utilizare

Tehnologii

• Burp Suite
• OWASP ZAP
• Nmap
• Nuclei
• sqlmap
• Metasploit
• Semgrep
• Trivy

Întrebări frecvente

• Cât costă un pentest în România?

  Nu publicăm tarife pe pagină. Fiecare abonament include ore lunare de CyberSecurity, iar un test țintit intră deseori în ele: 1 h la cPanel de la planul Advanced, 1–8 h la VPS, 5–10 h la dedicate, în funcție de plan, și 10 h la GPU. Ce depășește cota se facturează separat, la oră, doar după ce accepți estimarea. Detaliile de plan sunt pe pagina de abonamente.

• Cât durează un pentest?

  Depinde de perimetru. O aplicație web mică se acoperă repede, un ecosistem cu mai multe API-uri și medii separate cere mai mult. Stabilim durata la scoping, împreună cu fereastra de execuție, și îți spunem înainte dacă intră în orele incluse sau nu.

• Pentest sau scanare de vulnerabilități?

  Scanarea rulează continuu și găsește ce e cunoscut: versiuni vechi, configurări greșite, CVE-uri. Pentestul caută ce nu apare în semnături: logică de business ruptă, drepturi greșite, lanțuri de escaladare. Recomandarea noastră este scanare continuă tot anul și pentest la lansări mari sau la cerere de audit.

• Poate AI să înlocuiască un pentest?

  Nu. Agenții AI accelerează recunoașterea, fuzzing-ul și triajul, dar produc și rezultate plauzibile care nu se confirmă. Noi le folosim ca să acoperim mai multă suprafață, apoi validăm manual fiecare constatare și o livrăm cu pași de reproducere. Semnătura pe raport rămâne a unui om.

• Ce este un audit de securitate cibernetică?

  Este verificarea măsurilor tehnice și organizatorice față de un set de cerințe: NIS2 prin OUG 155/2024, GDPR sub supravegherea ANSPDCP sau alinierea la ISO 27001. Auditul formal se face de un auditor autorizat DNSC; noi livrăm partea tehnică, dovezile și remedierea pe serverele găzduite la noi.

• Cât de des trebuie făcut un pentest?

  Cel puțin la fiecare schimbare majoră: versiune nouă de aplicație, migrare de infrastructură, integrare de plăți. Între teste, scanarea continuă și prioritizarea pe EPSS acoperă vulnerabilitățile nou-publicate, care astăzi sunt exploatate automat în câteva ore de la anunț.