Εφαρμογές web
OWASP Top 10, λογικά σφάλματα, authentication, authorization, session management, business logic abuse.
Χειροκίνητος, τεκμηριωμένος, με retest · Αναφορά σε δύο επίπεδα — εκτελεστικό και τεχνικό
Ζητήστε προσφορά →
Pentest · OWASP · PTES · MITRE ATT&CK
Έλεγχος διείσδυσης με αναφορά που αντέχει σε επιθεώρηση.
Χειροκίνητος, τεκμηριωμένος, με retest περιλαμβανόμενο. Δεν παραδίδουμε export από εργαλείο — παραδίδουμε ευρήματα με βήματα αναπαραγωγής, απόδειξη, εκτίμηση κινδύνου και προτεινόμενη διόρθωση. Μία αναφορά που μπορεί να διαβαστεί από το ΔΣ και να εκτελεστεί από την τεχνική ομάδα.
Ο έλεγχος διείσδυσης (pentest) είναι χειροκίνητη, εξουσιοδοτημένη επίθεση σε εφαρμογές web, APIs, δίκτυο, cloud ή κινητές εφαρμογές, για να βρεθούν τα κενά που θα χρησιμοποιούσε ένας επιτιθέμενος. Η KodeX GRC ακολουθεί OWASP και PTES, παραδίδει εκτελεστική και τεχνική αναφορά σε 2–3 εβδομάδες και περιλαμβάνει retest μετά τις διορθώσεις.
Τι καλύπτει
Έξι τύποι εμπλοκής. Κάθε ένας έχει διαφορετικό εύρος, διαφορετικές τεχνικές και διαφορετικό παραδοτέο — επιλέγουμε μαζί ποιοι έχουν νόημα με βάση το αποτύπωμά σας.
Διεπαφές (APIs)
OWASP API Top 10, broken object level authorization, mass assignment, rate limiting, authentication bypass.
Εσωτερικό δίκτυο
Pivoting, privilege escalation, Active Directory, lateral movement, Kerberos attacks, credential harvesting.
Εξωτερικό περιμετρικό
Εκτεθειμένες υπηρεσίες, VPN, webmail, remote access, subdomain takeover, cloud storage exposure.
Διαμόρφωση cloud
IAM policies, storage exposure, network segmentation, logging gaps, privilege escalation paths.
Κινητές εφαρμογές
OWASP MASVS, ασφαλής αποθήκευση, επικοινωνία, certificate pinning, reverse engineering resistance.
Σε ποιους απευθύνεται
Ο έλεγχος έχει αξία όταν υπάρχει πραγματικός λόγος — ρυθμιστική απαίτηση, απαίτηση πελάτη, ή σοβαρή υποψία ότι κάτι δεν λειτουργεί όπως νομίζετε.
Δουλεύουμε κυρίως με οργανισμούς που έχουν ήδη τεχνικά μέτρα — EDR, WAF, MFA, logging — και θέλουν να επαληθεύσουν ότι αυτά τα μέτρα ανταποκρίνονται στην πραγματική απειλή. Όχι θεωρητικά, αλλά με απόπειρα εκμετάλλευσης.
Ο κανόνας: αν σας ζητήθηκε από πελάτη, αν περνάτε επιθεώρηση ISO 27001 (A.8.8), αν εμπίπτετε σε PCI DSS ή DORA, ή αν υποψιάζεστε ότι μια εφαρμογή σας έχει σοβαρό κενό — τότε ο έλεγχος έχει άμεση αξία.
SaaS και εφαρμογές που επεξεργάζονται ευαίσθητα δεδομένα πελατών
Χρηματοοικονομικά και fintech με ρυθμιστικές απαιτήσεις (DORA, PCI DSS)
Όσοι έχουν ISO 27001 και χρειάζονται ετήσιο τεκμήριο για A.8.8
Όσοι πέρασαν επιθεώρηση με εύρημα για τεχνικό έλεγχο
Πριν από μεγάλη αλλαγή — migration, νέο προϊόν, εξαγορά, IPO
Πώς δουλεύουμε
Τέσσερις φάσεις. Η σειρά δεν είναι τυχαία — το scoping προηγείται της εκμετάλλευσης, και το retest έρχεται μετά τις διορθώσεις, όχι μαζί με την πρώτη αναφορά.
Scoping
Τι ελέγχεται, πώς, με ποιους κανόνες
Ορισμός εύρους, κανόνες εμπλοκής, παράθυρα δοκιμών, επικοινωνία με ομάδες, σημεία επαφής για έκτακτη διακοπή.
3 ημέρεςReconnaissance
Πριν χτυπήσουμε
Παθητική και ενεργή συλλογή πληροφορίας — επιφάνεια επίθεσης, εκτεθειμένα assets, τεχνολογίες, credentials σε διαρροές.
2–3 ημέρεςExploitation
Χειροκίνητα, όχι αυτόματα
Εκμετάλλευση, privilege escalation, lateral movement, persistence. Κάθε βήμα τεκμηριώνεται με απόδειξη, όχι με θεωρία.
5–10 ημέρεςReporting & retest
Και επαλήθευση διορθώσεων
Executive summary για ΔΣ, τεχνικές λεπτομέρειες για ομάδα, debrief, retest μετά τις διορθώσεις με ενημερωμένη αναφορά.
4 ημέρες + retestΔείγμα ευρήματος
Ανωνυμοποιημένο απόσπασμα από πραγματική αναφορά. Κάθε εύρημα παραδίδεται με αυτή τη δομή — βήματα αναπαραγωγής, απόδειξη, εκτίμηση κινδύνου, διόρθωση.
- Περιγραφή
- Το endpoint
GET /api/v2/orders/{id}επιστρέφει πλήρη στοιχεία παραγγελίας χωρίς έλεγχο αν ο αιτών είναι ο ιδιοκτήτης της. Οποιοσδήποτε authenticated χρήστης μπορεί να προσπελάσει δεδομένα άλλων πελατών — ονόματα, διευθύνσεις, ιστορικό αγορών, τελευταία 4 ψηφία κάρτας. - Βήματα
-
- Σύνδεση ως χρήστης Α — λήψη έγκυρου JWT
- Καταγραφή του
order_idτου χρήστη Α (10458) - Αίτημα για
order_id=10459με το ίδιο JWT - Το API επιστρέφει
200 OKμε πλήρη δεδομένα του χρήστη Β
- Επίπτωση
- Παραβίαση εμπιστευτικότητας σε κλίμακα. Ενεργοποιεί υποχρέωση αναφοράς σε GDPR Άρθρο 33 (εντός 72 ωρών) και ενδεχόμενη γνωστοποίηση στα υποκείμενα κατά Άρθρο 34. Έκθεση σε πρόστιμα και απώλεια πελατών.
- Διόρθωση
- Έλεγχος κυριότητας σε επίπεδο πόρου, όχι μόνο ταυτοποίησης. Σύσταση για έλεγχο όλων των endpoints της ίδιας κατηγορίας — βρέθηκαν 3 ακόμη με την ίδια αδυναμία κατά τη διάρκεια του ελέγχου.
- Παραπομπές
- OWASP API1:2023 · CWE-639 · OWASP Top 10 A01:2021
- Περιγραφή
- Service account
svc_backupέχει καταχωρισμένο SPN και κωδικό που ανακτήθηκε εντός 4 ωρών με λεξικό. Ο λογαριασμός έχει δικαιώματα Domain Admin — πλήρης κατάληψη του Active Directory. - Απόδειξη
- Έγινε επίδειξη απόκτησης
NTDS.ditαπό domain controller με χρήση του λογαριασμού. Η απόδειξη παραδίδεται σε ξεχωριστό αρχείο με περιορισμένη πρόσβαση. - Διόρθωση
- Άμεση αλλαγή κωδικού σε 25+ χαρακτήρες, μετάβαση σε Group Managed Service Accounts, περιορισμός δικαιωμάτων, ενεργοποίηση Kerberoasting detection.
Τι παραδίδεται
Έξι παραδοτέα που καλύπτουν όλα τα ενδιαφερόμενα μέρη — από το διοικητικό συμβούλιο μέχρι τον μηχανικό που θα εφαρμόσει τη διόρθωση.
Executive summaryΓια ΔΣ — τι βρήκαμε, πόσο σοβαρό, τι προτείνουμε. Χωρίς τεχνική ορολογία.
Τεχνική αναφοράΚάθε εύρημα με βήματα αναπαραγωγής, απόδειξη, CVSS score, προτεινόμενη διόρθωση.
Κατηγοριοποίηση κινδύνουΚρίσιμο / υψηλό / μεσαίο / χαμηλό — με αιτιολόγηση βασισμένη σε εκμεταλλευσιμότητα και επίπτωση.
Αποδεικτικό υλικόScreenshots, HTTP requests/responses, command output — το τεκμήριο που ζητά ο επιθεωρητής.
Retest reportΕπαλήθευση διορθώσεων μετά το πέρας των εργασιών — με ενημερωμένη κατάσταση ανά εύρημα.
Debrief παρουσίασηΣτην τεχνική ομάδα, με απαντήσεις σε ερωτήσεις — και, αν χρειάζεται, στο ΔΣ.
Χρονοδιάγραμμα 2–3 εβδομάδων
Τυπικό έργο web application ή εσωτερικού δικτύου. Ο χρόνος εκμετάλλευσης προσαρμόζεται στο εύρος — το scoping τον καθορίζει με ακρίβεια.
ΕΒΔ. 01
Scoping & reconnaissance
Κανόνες εμπλοκής, επιφάνεια επίθεσης, παθητική και ενεργή συλλογή πληροφορίας.
ΕΒΔ. 02
Exploitation
Χειροκίνητη εκμετάλλευση, privilege escalation, lateral movement, persistence.
ΕΒΔ. 03
Reporting & debrief
Σύνταξη, εσωτερική διασταύρωση, παράδοση, debrief με τεχνική ομάδα και ΔΣ.
+2 εβδ.
Retest
Επαλήθευση διορθώσεων, ενημερωμένη αναφορά, κλείσιμο.
Συχνές ερωτήσεις
Οι ερωτήσεις που ακούμε πριν αναλάβουμε έργο ελέγχου διείσδυσης.
Ποια η διαφορά pentest και vulnerability assessment;
Το VA σαρώνει αυτόματα και ιεραρχεί τα ευρήματα. Το pentest εκμεταλλεύεται, με ανθρώπινη κρίση, για να αποδείξει τι είναι πραγματικά εκμεταλλεύσιμο. Συνήθως χρειάζονται και τα δύο — το VA για συνεχή κάλυψη, το pentest για απόδειξη σε βάθος. Δείτε το επόμενο βήμα στη σελίδα Αξιολόγηση Τρωτότητας.
Πόσο διαρκεί ένας έλεγχος διείσδυσης;
Τυπικά 2–3 εβδομάδες δοκιμών. Εξαρτάται από το εύρος — μία web εφαρμογή είναι 5–7 ημέρες, ένα εσωτερικό δίκτυο 250 ατόμων είναι 10–15 ημέρες. Οι δύο εβδομάδες μετά είναι για reporting και retest.
Θα επηρεαστεί η παραγωγή κατά το pentest;
Όχι, αν έχει γίνει σωστό scoping. Οι δοκιμές εκμετάλλευσης γίνονται σε ώρες που έχουμε συμφωνήσει, με δοκιμαστικούς λογαριασμούς όπου είναι δυνατόν, και με διαδικασία άμεσης διακοπής. Αν κάτι εμφανίσει κίνδυνο για την παραγωγή, ενημερώνουμε αμέσως και σταματάμε.
Πόσο κοστίζει ένα pentest;
Εξαρτάται από το εύρος. Ένα web application pentest ξεκινά από λίγες χιλιάδες ευρώ. Μετά το scoping δίνουμε σταθερή τιμή — όχι πριν. Δεν δίνουμε τιμή χωρίς να έχουμε δει το αποτύπωμα, γιατί οι προσφορές τηλεφώνου είναι πάντα λάθος.
Χρειάζομαι ISO 27001 για να κάνω pentest;
Όχι. Το pentest έχει ανεξάρτητη αξία — σας δείχνει τι πραγματικά εκμεταλλεύσιμο υπάρχει. Αν έχετε ISO 27001, το τεκμήριο από το pentest ικανοποιεί την απαίτηση A.8.8 (διαχείριση τεχνικών τρωτοτήτων). Αν δεν έχετε, το pentest είναι καλή αρχή για να χτίσετε γύρω του ένα πρόγραμμα.
Σχετικές υπηρεσίες
Το pentest σπάνια στέκεται μόνο του. Συνήθως συνδυάζεται με τα παρακάτω, γιατί μοιράζονται τεχνικά ευρήματα και τεκμήρια.
06 · VA
Συνεχής αξιολόγηση
Το pentest είναι στιγμιότυπο — ένα τεστ ανά έτος. Το VA καλύπτει το κενό μεταξύ ελέγχων με συνεχή σάρωση και ιεράρχηση.
01 · ISO 27001A.8.8 · Τεκμήριο
Ο έλεγχος διείσδυσης ικανοποιεί την απαίτηση διαχείρισης τεχνικών τρωτοτήτων — και παράγει το τεκμήριο που ζητά ο επιθεωρητής.
07 · CloudΠριν το pentest
Λάθος ρυθμίσεις cloud εμφανίζονται ως ευρήματα σε κάθε pentest. Καλύτερα να έχουν κλείσει πριν ξεκινήσει ο έλεγχος.
Ξεκινήστε
Πείτε μας τι θέλετε να ελέγξουμε.
Σε μία σύντομη κλήση scoping — 10 λεπτά — ορίζουμε μαζί το εύρος, τους κανόνες εμπλοκής και το χρονοδιάγραμμα. Παίρνετε σταθερή προσφορά με συγκεκριμένο αριθμό ημερών και παραδοτέων. Χωρίς δέσμευση.
Χωρίς δέσμευση
Εμπιστευτικά
NDA πριν το scoping