Έλεγχος έκθεσης ιστοσελίδας
Τι μπορεί να δει ένας επιτιθέμενος για το site σας από έξω, αυτή τη στιγμή; Ένας read-only έλεγχος με γραπτή αναφορά και σύντομη κλήση για να τον περάσουμε μαζί. Δεν χρειάζεται πρόσβαση στον server σας.
Για ποιον είναι
- Ιδιοκτήτες που δεν έχουν παραβιαστεί και θέλουν να ξέρουν πού βρίσκονται πριν συμβεί.
- Επιχειρήσεις που αξιολογούν ένα site που πρόκειται να αναλάβουν, να αγοράσουν ή να μεταφέρουν.
- Agencies που θέλουν ανεξάρτητο έλεγχο πριν παραδώσουν ένα site σε πελάτη.
Έλεγχος έκθεσης ιστοσελίδας
Ένα domain, εξωτερικά και read-only. Περιλαμβάνει αναφορά και 20λεπτη κλήση.
Τι περιλαμβάνει
- Δημόσια εκτεθειμένα αρχεία και φάκελοι: backups, dumps βάσης, αντίγραφα ρυθμίσεων, logs, installers, φάκελοι version control, υπολείμματα ανάπτυξης.
- Έκθεση λογισμικού και εκδόσεων: CMS, plugins, themes και βιβλιοθήκες ορατές από έξω, σε αντιπαραβολή με γνωστές ευπάθειες.
- Επιφάνεια διαχείρισης και σύνδεσης: σελίδες login, XML-RPC, REST endpoints, απαρίθμηση χρηστών, προεπιλεγμένοι λογαριασμοί.
- Μεταφορά και headers: διαμόρφωση TLS, redirects, security headers, cookie flags, mixed content.
- Φήμη: Google Safe Browsing, συνήθεις blocklists, καταχωρήσεις spam για το domain και το mail.
- Ενδείξεις υπάρχουσας παραβίασης ορατές από έξω: εμφυτευμένα scripts, σελίδες spam στα αποτελέσματα αναζήτησης, ύποπτα redirects για crawlers ή κινητά.
- Γραπτή αναφορά με ευρήματα ταξινομημένα κατά σοβαρότητα, και 20λεπτη κλήση για να τα περάσουμε μαζί.
Τι δεν περιλαμβάνει
- Οτιδήποτε απαιτεί πρόσβαση στον server ή στον λογαριασμό hosting. Ο έλεγχος είναι εξωτερικός και read-only εκ σχεδιασμού.
- Εκμετάλλευση ευπαθειών ή penetration testing. Παρατηρούμε και αναφέρουμε, δεν επιτιθέμεθα.
- Καθαρισμό ή διορθώσεις. Ευρήματα που χρειάζονται εργασία τιμολογούνται ξεχωριστά ή καλύπτονται από τη Θωράκιση.
Πώς δουλεύουμε
Ο έλεγχος χρησιμοποιεί μόνο ό,τι είναι δημόσια προσβάσιμο. Δεν στέλνουμε ποτέ exploit payloads στο site σας.
Αίτημα
Μας δίνετε το domain και επιβεβαιώνετε ότι το κατέχετε ή είστε εξουσιοδοτημένοι να το ελέγξετε.
Εξωτερικός έλεγχοςεντός 2 εργάσιμων
Χειροκίνητος έλεγχος υποστηριζόμενος από εργαλεία: εκτεθειμένες διαδρομές, εκδόσεις, headers, φήμη, ορατές ενδείξεις παραβίασης.
Αναφορά
Ευρήματα κατά σοβαρότητα, το καθένα με το τι είδαμε, γιατί έχει σημασία και τι θα το διόρθωνε.
Κλήση20 λεπτά
Περνάμε την αναφορά μαζί και απαντάμε σε ερωτήσεις. Αν θέλετε να γίνουν οι διορθώσεις, δίνουμε προσφορά.
Τι παραλαμβάνετε
- Γραπτή αναφορά (PDF) με ευρήματα ταξινομημένα σε κρίσιμα / υψηλά / μεσαία / χαμηλά / πληροφοριακά.
- Για κάθε εύρημα: στοιχείο, επίπτωση, προτεινόμενη διόρθωση.
- 20λεπτη κλήση για να περάσουμε την αναφορά.
Τι αλλάζει την τιμή
- Περισσότερα domains ή subdomains της ίδιας επιχείρησης: τιμολόγηση ανά domain με μειωμένη τιμή.
- Αν θέλετε να γίνουν οι διορθώσεις: Θωράκιση & επαλήθευση (300 €) ή πλάνο Συντήρησης.
Συχνές ερωτήσεις
Είναι penetration test;
Όχι. Το penetration test προσπαθεί ενεργά να παραβιάσει και είναι μεγαλύτερο, εξουσιοδοτημένο έργο. Ο Έλεγχος έκθεσης παρατηρεί ό,τι είναι δημόσια ορατό και το αναφέρει. Είναι το σωστό πρώτο βήμα για τα περισσότερα μικρά και μεσαία sites.
Χρειάζεστε τα στοιχεία σύνδεσης ή πρόσβαση στο hosting;
Όχι. Όλα γίνονται από έξω, όπως θα τα έβλεπε ένας επιτιθέμενος ή ένας scanner. Αυτό σημαίνει επίσης ότι δεν μπορεί να βρει ό,τι κρύβεται πίσω από σύνδεση· για αυτό υπάρχει η Θωράκιση, που περιλαμβάνει έλεγχο από μέσα.
Μπορώ να το τρέξω σε site που δεν μου ανήκει;
Μόνο με γραπτή εξουσιοδότηση του ιδιοκτήτη. Τη ζητάμε στο αίτημα.
Σε τι διαφέρει από τους δωρεάν online scanners;
Οι δωρεάν scanners αναφέρουν ό,τι ταιριάζει στους κανόνες τους, χωρίς κρίση. Εδώ ένας άνθρωπος κοιτάζει τα αποτελέσματα, αφαιρεί τον θόρυβο, ελέγχει όσα χάνουν οι scanners (εκτεθειμένα backups, υπολείμματα ανάπτυξης, cloaking spam) και εξηγεί τι έχει πραγματικά σημασία για το site σας.
Θα μου πείτε αν το site είναι ήδη παραβιασμένο;
Ναι, εφόσον φαίνεται από έξω: εμφυτευμένα scripts, σελίδες spam στην Google, κρυφά redirects. Αν δούμε ενδείξεις παραβίασης, σας ενημερώνουμε αμέσως και προτείνουμε την κατάλληλη επόμενη υπηρεσία.
Σχετικά άρθρα
Από τις τεχνικές μας αναλύσεις (στα αγγλικά)
Θέλετε να ξέρετε πού βρίσκεστε;
Στείλτε το domain. Απαντάμε με επιβεβαίωση και παραδίδουμε την αναφορά εντός δύο εργάσιμων.