Ofensywne bezpieczeństwo,które daje konkretne wyniki
Osiem obszarów — od testów penetracyjnych po CTF. Każdy projekt zaczyna się od rozmowy o ryzyku, a kończy raportem, który Twój zespół faktycznie wdroży.
Testy penetracyjne
Symulujemy realny atak na Twoje systemy. Testujemy manualnie, łączymy podatności w ścieżki ataku i dokumentujemy każdy krok.
Co testujemy
- Aplikacje webowe i API (REST, GraphQL)
- Aplikacje mobilne iOS i Android
- Infrastrukturę zewnętrzną i perymetr
- Sieć wewnętrzną i Active Directory
- Sieci Wi-Fi
Co otrzymujesz
- Podsumowanie dla zarządu
- Opis podatności z PoC i oceną CVSS
- Rekomendacje naprawcze krok po kroku
- Spotkanie omawiające wyniki
- Retest i raport końcowy
Red teaming
Scenariusz od rozpoznania po przejęcie celu, prowadzony bez uprzedzania zespołu obrony. Sprawdzamy nie tylko systemy, ale też detekcję, procedury i czas reakcji.
Zakres
- Rekonesans i phishing
- Uzyskanie dostępu i eskalacja uprawnień
- Ruch boczny i Active Directory
- Realizacja uzgodnionych celów (flagi)
- Współpraca z blue teamem (purple)
Co otrzymujesz
- Narrację ataku krok po kroku
- Ocenę detekcji i reakcji
- Rekomendacje dla zespołu obrony
- Warsztat podsumowujący
Audyty haseł
Sprawdzamy hasła Twojej organizacji tak, jak zrobiłby to napastnik po wycieku skrótów — i pokazujemy, które polityki działają, a które tylko istnieją na papierze.
Zakres
- Łamanie skrótów z Active Directory
- Hasła współdzielone i powtarzalne
- Obecność w publicznych wyciekach
- Zgodność z polityką haseł
- Konta uprzywilejowane i serwisowe
Co otrzymujesz
- Statystyki bez ujawniania haseł
- Listę kont wymagających zmiany
- Rekomendacje do polityki haseł
- Materiał do szkolenia pracowników
Audyty bezpieczeństwa
Sprawdzamy, czy konfiguracje, procesy i kod spełniają wymagania — technicznie i regulacyjnie. Bez stosu dokumentów, z planem działania.
Zakres
- Przegląd konfiguracji systemów i usług
- Security code review
- Analiza luk względem NIS2 / DORA
- Przegląd architektury i modelowanie zagrożeń
- Ocena bezpieczeństwa dostawców
Co otrzymujesz
- Raport z oceną ryzyka
- Mapę zgodności z wymaganiami
- Plan naprawczy z priorytetami
- Wsparcie przy wdrożeniu zmian
Infrastruktura / chmura
Błędna konfiguracja to najczęstsza furtka do chmury. Szukamy jej w Twoich kontach, klastrach i pipeline'ach — i pomagamy ją zamknąć na stałe.
Zakres
- Cloud security review i testy IAM
- Microsoft 365 i Entra ID
- Bezpieczeństwo Kubernetes i kontenerów
- Przegląd IaC i pipeline'ów CI/CD
- Hardening serwerów, sieci i AD
Co otrzymujesz
- Listę błędów konfiguracji z priorytetami
- Gotowe poprawki (IaC / polityki)
- Rekomendacje architektoniczne
- Opcjonalnie: wsparcie we wdrożeniu
Konsulting
Doradzamy tam, gdzie decyzja jest droższa od testu: przy projektowaniu architektury, wyborze dostawców i spełnianiu wymagań regulacyjnych.
Zakres
- Przegląd architektury nowych systemów
- Wymagania bezpieczeństwa dla dostawców i przetargów
- Wsparcie przy wdrożeniach regulacyjnych
- Program bezpieczeństwa i polityki
- Doraźne konsultacje dla zespołów
Co otrzymujesz
- Rekomendacje architektoniczne
- Gotowe wymagania i checklisty
- Udział w warsztatach i przeglądach
- Wsparcie w rozmowach z audytorem
Szkolenia
Uczymy tego, co widzimy w projektach. Warsztaty prowadzą praktykujący pentesterzy, na laboratoriach odwzorowujących realne środowiska.
Programy
- Security awareness dla pracowników
- Bezpieczeństwo aplikacji web i API
- Sieci, Windows i Active Directory
- Łamanie haseł
- Aplikacje mobilne iOS i Android
Format
- Od 4 do 16 godzin warsztatów hands-on
- Zamknięte grupy dla firm, stacjonarnie lub online
- Materiały i dostęp do laboratoriów
- Certyfikat ukończenia
CTF
Od zadań i infrastruktury po prowadzenie na żywo. Organizowaliśmy prawdopodobnie największe stacjonarne zawody CTF w Polsce — 2084 CTF (HackYeah 2025) i Reentry CTF (HackYeah 2026).
Zakres
- Projekt zadań dopasowany do poziomu uczestników
- Platforma i infrastruktura (instancje per zespół)
- Prowadzenie na żywo i wsparcie uczestników
- CTF szkoleniowy dla zespołów firmowych
- CTF eventowy na konferencje i hackathony
Co otrzymujesz
- Gotowy zestaw zadań z rozwiązaniami
- Platformę i monitoring w trakcie zawodów
- Ranking i podsumowanie
- Materiały do nauki po zawodach
Co mówiąnasi klienci
Zespół Unshade to prawdziwi profesjonaliści w swojej dziedzinie. Dzięki ich wiedzy i zaangażowaniu udało nam się znacząco podnieść poziom bezpieczeństwa naszych aplikacji. Polecamy ich usługi każdemu, kto ceni sobie jakość i rzetelność.
Częste pytania
Ile kosztuje test penetracyjny?
Wycena zależy od zakresu: liczby aplikacji, endpointów i hostów oraz wariantu testu (black, grey lub white box). Po krótkiej rozmowie i ustaleniu zakresu przygotowujemy ofertę z konkretną liczbą dni pracy.
Jak długo trwa projekt?
Zależy od zakresu. Test pojedynczej aplikacji to zwykle kilka dni roboczych testów, większe środowiska — kilka tygodni. Do tego dochodzi czas na raport, konsultacje i re-test po wdrożeniu poprawek.
Czym różni się black, grey i white box?
Różnią się ilością wiedzy, jaką dostajemy na start: od żadnej (perspektywa zewnętrznego napastnika), przez konta testowe, po pełny dostęp do dokumentacji i kodu. Najczęściej grey box daje najlepszy stosunek pokrycia do czasu.
Czy testy mogą zakłócić działanie systemów?
Ustalamy okna testowe, wyłączenia z zakresu i kanał kontaktu na wypadek problemów. Testy prowadzimy w sposób kontrolowany, a działania mogące wpłynąć na dostępność, np. testy obciążeniowe, wykonujemy wyłącznie po uzgodnieniu.
Co zawiera raport?
Podsumowanie dla zarządu, opis metodyki, wykryte podatności z oceną ryzyka CVSS i odniesieniami do CVE oraz OWASP Top 10, a także rekomendacje naprawcze krok po kroku — zrozumiałe zarówno dla odbiorców technicznych, jak i nietechnicznych.
Co dzieje się po dostarczeniu raportu?
Omawiamy wyniki z Twoim zespołem, pomagamy wdrożyć poprawki, a po ich wdrożeniu wykonujemy re-test i przekazujemy informację, które podatności zostały wyeliminowane, a które wymagają dalszej uwagi.
Porozmawiajmyo Twoim bezpieczeństwie
Zostaw adres i jedno zdanie o tym, czego potrzebujesz. Odezwiemy się w ciągu jednego dnia roboczego.
Formularz jest w przygotowaniu. Napisz do nas bezpośrednio: contact@unshade.pl