Пентест с аутентификацией для нефтегазового сектора
Пентест с аутентификацией для нефтегазового сектора. Энергетические компании управляют критичными для безопасности процедурами и огромными каталогами оборудования и материалов на распределённых объектах.
Ключевые возможности платформы
Аутентифицированное сканирование
Движок выполняет сценарный вход через зашифрованное хранилище учётных данных QA-движка, получает сессионные куки и bearer-токен и работает от имени реального авторизованного пользователя. Эндпоинты, обнаруженные в ходе входа и обхода, формируют синтезированную API-спецификацию — сканирование охватывает аутентифицированную поверхность, а не останавливается у страницы входа.
Строгий список разрешённых целей
Цель должна быть явно добавлена в allow-list перед тем, как её можно будет сканировать. Цель, помеченная как защищённая логином, не может быть просканирована без аутентификации — платформа отклоняет такой запрос, а не запускает сканирование против экрана входа, чьи повторяющиеся ответы об ошибке сканер иначе мог бы принять за множество уязвимостей.
Честная обработка сбоев
Находка, которую невозможно воспроизвести — эндпоинт недостижим, ответы однородны, доказательств нет — помещается в карантин: сохраняется для аудита, но исключается из итогов по серьёзности. Скан, не сумевший пройти аутентификацию, помечается как inconclusive. Сбой среды не маскируется под результат безопасности.
Самостоятельное развёртывание без внешних зависимостей
Данные сканирования, учётные данные и отчёты остаются на вашей инфраструктуре. Никакой зависимости от внешних SaaS-сервисов — критично для объектов с ограниченным или контролируемым доступом в интернет.
Заменяемый движок сканирования
Сканер Deep Eye — это open-source движок, управляемый исключительно через CLI-контракт. Его можно обновить или заменить, не затрагивая остальную платформу, что обеспечивает долгосрочную гибкость без привязки к конкретному инструменту.
Отчёты по серьёзности в HTML и JSON
Находки представлены по уровням серьёзности в форматах HTML и JSON. AI-модель используется исключительно для генерации полезных нагрузок и триажа находок — только текст на входе и выходе, без обработки изображений или конфиденциальных данных.
Как работает пентест в Argus
Часто задаваемые вопросы
Могут ли учётные данные от корпоративных систем попасть за пределы нашей сети?
Нет. Argus развёртывается самостоятельно на вашей инфраструктуре. Учётные данные хранятся в зашифрованном хранилище QA-движка и никогда не передаются во внешние SaaS-сервисы. Данные сканирования и отчёты также остаются исключительно на вашей стороне — без каких-либо внешних зависимостей.
Что произойдёт, если сканер не сможет пройти аутентификацию?
Скан будет помечен как inconclusive — то есть результат неизвестен, а не «всё чисто». Сбой аутентификации расценивается как сбой среды, а не как отсутствие уязвимостей. Это исключает ложное ощущение защищённости и явно сигнализирует команде о необходимости разобраться с причиной сбоя.
Можно ли случайно просканировать критичную систему, не предназначенную для тестирования?
Нет. Сканирование запускается только против целей, явно добавленных в allow-list. Цель, помеченная как защищённая логином, не может быть просканирована без аутентификации — платформа отклоняет такой запрос по архитектуре. Случайное или несанкционированное сканирование исключено на уровне проектного решения.
Как платформа обрабатывает ложные срабатывания?
Каждая находка перепроверяется на живой цели перед включением в итоги по серьёзности. Если эндпоинт недостижим, ответы однородны или доказательств эксплуатации нет — находка помещается в карантин: она сохраняется для аудита, но не учитывается в финальных показателях. В отчёт попадают только реально воспроизводимые уязвимости.
Можно ли обновить или заменить движок сканирования без переработки всей платформы?
Да. Deep Eye управляется исключительно через CLI-контракт, поэтому его можно обновить или заменить независимо, не затрагивая QA-движок, AI-движок или общую консоль Argus. Это обеспечивает долгосрочную гибкость без привязки к конкретному инструменту сканирования.
Готовы проверить реальную поверхность атаки?
Свяжитесь с командой Allmaz, чтобы обсудить развёртывание Argus на вашей инфраструктуре и убедиться, что пентест действительно видит то, что видят ваши авторизованные пользователи.
Запросить демо