Пентест с аутентификацией для государственного сектора
Пентест с аутентификацией для государственного сектора. Государственные органы требуют локального развёртывания, чтобы данные граждан не покидали страну.
Аутентифицированное динамическое сканирование для корпоративных веб-приложений и API
Argus — самостоятельно развёртываемая платформа тестирования безопасности, в которой пентест-движок, QA-движок и AI-движок работают под единой консолью и единым входом, совместно используя зашифрованное хранилище учётных данных и настройки модели. Сканирование выполняется только против явно одобренных целей: цель должна быть намеренно добавлена администратором, прежде чем её можно будет проверить. Все данные — учётные записи, результаты сканирования, отчёты — остаются исключительно на вашей инфраструктуре без какой-либо зависимости от внешних облачных сервисов.
Почему аутентифицированное сканирование важно для вашей организации
Суверенитет данных: сканирование, учётные данные и отчёты хранятся исключительно на вашей инфраструктуре — никакие данные не передаются во внешние SaaS-сервисы.
Полное покрытие защищённой поверхности: аутентифицированное сканирование проникает за стену входа и проверяет защищённые разделы приложений и API, недоступные для обычных сканеров.
Честная и точная отчётность: каждая находка повторно проверяется против живой цели; недоказуемые результаты помещаются в карантин и не искажают итоговые показатели серьёзности.
Прозрачность и прослеживаемость: каждое сканирование формирует HTML- и JSON-отчёты с классификацией по уровню серьёзности, пригодные для аудита, закупочных процедур и внутренних проверок.
Контроль периметра: цель должна быть явно добавлена администратором в список разрешённых — случайное или несанкционированное сканирование смежных систем исключено.
Единая платформа без привязки к поставщику: QA-, AI- и пентест-движки развёртываются вместе под одной консолью; Deep Eye управляется через контракт CLI и может быть обновлён или заменён без изменений в остальной части платформы.
Ключевые возможности платформы
Аутентифицированное динамическое сканирование
Движок выполняет сценарный вход через зашифрованное хранилище учётных данных QA-движка, получает сессионные куки и токен доступа, после чего работает как реальный авторизованный пользователь. Это позволяет проверять защищённые API и страницы, недоступные для обычных сканеров.
Синтезированная спецификация API
Эндпоинты, обнаруженные в процессе входа и обхода, автоматически формируют спецификацию API. Сканирование охватывает аутентифицированную поверхность атаки, а не ограничивается публичными маршрутами.
Карантин недоказуемых находок
Каждая находка повторно проверяется против живой цели. Если эндпоинт недостижим, ответы однородны или доказательств нет — находка помещается в карантин: она сохраняется, но не учитывается в итоговых показателях серьёзности.
Честная маркировка результатов
Сканирование, которое достигло цели, но не смогло её проверить, помечается как «неопределённое» — а не «чистое». Цель за стеной аутентификации не сканируется без учётных данных: запрос отклоняется, а не выполняется некорректно.
Явный список разрешённых целей
Сканирование запускается только против целей, намеренно добавленных администратором. Это исключает случайное сканирование смежных систем или ресурсов, не входящих в область проверки.
Заменяемый открытый движок
Сканирующий движок Deep Eye — проект с открытым исходным кодом, управляемый через контракт CLI. Его можно обновить или заменить без изменений в платформе, что обеспечивает долгосрочную независимость от конкретного поставщика.
Как работает пентест в Argus
Часто задаваемые вопросы
Покидают ли данные сканирования или учётные записи нашу инфраструктуру?
Нет. Argus развёртывается локально: данные сканирования, учётные записи и отчёты остаются исключительно на вашей инфраструктуре. Платформа не имеет внешних SaaS-зависимостей — ни для хранения данных, ни для обработки результатов.
Что происходит, если сканер не может пройти аутентификацию?
Сбой аутентификации расценивается как сбой среды, а не как результат сканирования — по тому же принципу честного отказа, который применяет QA-движок. Сканирование помечается как «неопределённое» и не отображается как «чистое». Цель, требующая входа, не сканируется без учётных данных: запрос отклоняется, а не выполняется против стены аутентификации, чей единственный повторяющийся ответ об ошибке сканер иначе мог бы ошибочно интерпретировать как множество уязвимостей.
Как платформа предотвращает несанкционированное сканирование смежных систем?
Сканирование запускается исключительно против целей из явного списка разрешённых. Цель должна быть намеренно добавлена администратором — автоматическое, случайное или несанкционированное сканирование ресурсов вне области проверки исключено на уровне архитектуры.
Можно ли использовать отчёты для аудита и закупочных процедур?
Да. Каждое сканирование формирует HTML- и JSON-отчёты с классификацией находок по уровню серьёзности. Карантинные записи сохраняются отдельно и не исчезают из системы — это обеспечивает полную прослеживаемость для проверяющих органов и закупочных комиссий.
Зависит ли платформа от конкретного сканирующего движка, и можно ли его заменить?
Нет жёсткой зависимости. Deep Eye — проект с открытым исходным кодом, взаимодействие с которым осуществляется исключительно через контракт CLI. Это означает, что движок можно обновить или заменить альтернативным без каких-либо изменений в остальной части платформы, что снижает долгосрочный риск привязки к одному поставщику.
Готовы проверить защищённые системы вашей организации?
Свяжитесь с командой Allmaz, чтобы обсудить локальное развёртывание Argus и убедиться, что аутентифицированное сканирование соответствует требованиям суверенитета данных и информационной безопасности вашей организации.
Запросить демо