Нам довіряють команди з
Засновано творцем Kontra Application Security Training.
Безпека застосунків для розробників
П’ять практичних напрямів на симульованій робочій станції. Проексплуатуйте справжню вразливість у тому, що ваша команда реально випускає, а потім самі напишіть виправлення.
$ login --user admin password: [ok] authenticated 1,284 rows exfiltrated
Одна лапка у формі пошуку спустошує таблицю клієнтів.
// concatenated input query(`... id = ${id}`) ✗ // parameterized query('... id = ?', [id]) ✓
Передайте введення користувача як параметр — і лапка залишиться даними, а не кодом.
$ GET /api/trips/50318 retry: 200 OK · rider_id 8814 another rider's receipts
Змініть один id у шляху — і API віддасть поїздки іншого пасажира.
// authenticated, not authorized return db.trip(req.params.id) ✗ // check the object owner if (trip.riderId !== me) return 403 ✓
Автентифікація доводить, хто звертається. Лише перевірка власника доводить, що йому можна.
$ git log --all -p grep: commit 9f8e7d6 live key, deleted at HEAD
Ключа вже немає в HEAD, але він досі живий трьома комітами раніше.
// removed in a later commit git rm config/secrets.js ✗ // rotate first, then rewrite git filter-repo --invert-paths ✓
Спершу замініть ключ. Саме лише переписування історії витік не скасовує.
$ docker history checkout-api:1.4.2 layer: sha256:9c1f4e7a · 184 MB secret readable in the layer
Хто може завантажити образ, той може прочитати шар, у якому його зібрано.
// baked into the image ENV STRIPE_KEY=sk_live_... ✗ // mounted, never committed RUN --mount=type=secret,id=stripe ✓
Монтування секрету BuildKit дає збірці прочитати значення, яке вона ніде не зберігає.
$ aws s3 ls --no-sign-request bucket: 4,102 objects listed patient exports downloadable
Нотатка підтримки називає бакет, а бакет відповідає анонімно.
// public read on the bucket Principal: "*" ✗ // block public access, scope the reader Principal: cloudfront-oac ✓
Заблокуйте публічний доступ, а потім впустіть одного названого читача через парадні двері.
Охоплює мови, якими пише ваша команда
Вразливий код і його виправлення показані тією мовою, якою ваші розробники працюють щодня.
- JavaScript
- TypeScript
- Java
- C#
- Python
- Scala
- PHP
- Ruby
- Go
- Kotlin
- Практика безпечного кодування: ін’єкції, порушений контроль доступу, XSS, CSRF та SSRF
- Експлойт і виправлення поруч, щоб закріпилося рішення, а не лише страх
- Створено для інженерних команд у програмах PCI DSS 6.2 та безпечного кодування
Фішингові симуляції
Перевірте своїх працівників реалістичними фішинговими атаками з доставкою напряму в поштову скриньку. Відстежуйте всю воронку від доставки до введення облікових даних і автоматично призначайте цільове навчання тим, хто клікнув.
- Доставка напряму в M365 і Google Workspace обходить спам-фільтри
- Кнопки повідомлення в Outlook і Gmail фіксують повідомлення співробітників у реальному часі
- Аналітика всієї воронки: доставлено, відкрито, клікнуто, облікові дані, повідомлено
- Автоматичне коригувальне навчання призначає вправи тим, хто не пройшов симуляцію
Усередині фішингового доповнення
Справжні екрани з адмін-консолі.
-
Шаблони Бібліотека приманок із живим переглядом листа -
Цільові сторінки Сторінка, на яку веде клік -
Урок після кліку Що людина дізнається одразу після помилки -
Аналітика Воронка й тренд по всіх кампаніях -
Кампанії Надсилання, розподілені по вікну доставки
Смішингові симуляції
Перевірте своїх працівників на стійкість до SMS-фішингу — каналу, перед яким немає поштового шлюзу. Надсилайте реалістичні, але безпечні SMS-приманки через справжній SMS-канал, вимірюйте, хто натискає, а хто повідомляє, і скеровуйте решту на цільове навчання.
- Справжня доставка SMS у робочі години з урахуванням лімітів операторів
- Відстеження натискань і відповідей REPORT для кожного отримувача через підписані токени з обмеженим терміном дії
- Аналітика всієї воронки: надіслано, доставлено, клікнуто, введено дані, повідомлено
- Автоматичне коригувальне навчання призначає цільові уроки всім, хто натиснув на приманку
Усередині смішингового доповнення
Справжні екрани адмін-консолі.
-
Кампанії Канал SMS із приманкою про доставку посилки -
Приманка SMS про доставку, яке приходить на телефон -
Аналітика Надіслано, доставлено, натиснуто, введено дані, повідомлено
Управління людським ризиком
Кожен працівник отримує оцінку від 0 до 100 за те, як він діє в реальних симуляціях, і кожну оцінку можна простежити до подій, що за нею стоять. Далі правила призначають навчання тим, кому воно потрібне, з пробним запуском, перш ніж щось запрацює наживо.
- Оцінка для кожної людини, від 0 до 100 Складається з результатів симуляцій, повідомлень про фішинг і стану навчання. Найбільше важить нещодавня поведінка, і кожен потрапляє в діапазон Low, Moderate, High або Critical.
- Кожна оцінка пояснює, як її обчислено Відкрийте будь-яку оцінку, щоб побачити її чотири зважені підоцінки та події за ними. Менеджери й адміністратори можуть простежити будь-яке число до конкретних симуляцій, повідомлень і уроків, які його сформували. Жодного дарквебу, жодного профілювання.
- Додавайте власні сигнали та дані Надсилайте ризиковані входи, сповіщення SOC і позначки привілеїв зі свого SIEM, провайдера ідентифікації або скрипта через REST API чи завантажуйте CSV. Визначайте власні типи сигналів для всього, чого немає в каталозі, і проганяйте кожен імпорт у пробному режимі, перш ніж він застосується.
- Правила спрацьовують за оцінкою Автоматично записуйте на виправне навчання тієї ж миті, коли хтось перетинає поріг, і сповіщайте його менеджера. Спершу пробний запуск кожного правила, з журналом аудиту та аварійним вимикачем.
Усередині платформи
Центр керування, у який заходить ваша команда безпеки. Створений, щоб запускати навчання, доводити, що воно відбулося, і передавати підтвердження аудитору.
-
Спостерігайте за людським ризиком у реальному часі.
Загальний час у тенанті, середній час на користувача та зведення за активними кампаніями оновлюються тієї ж миті, коли учень завершує вправу. Фільтруйте за користувачем, командою чи періодом, не залишаючи сторінку.
- Щоденна стрічка активності з ковзними вікнами
- Активні та нещодавні кампанії з першого погляду
- Зрізи за командою, роллю чи окремою людиною
-
Знайдіть кожну прогалину в знаннях і закрийте її.
Результати за кожним запитанням із кожної спроби тесту. Точно видно, які запитання ваші працівники постійно провалюють.
- Облік правильних і неправильних відповідей на рівні запитання
- Рейтинг найскладніших запитань по всій організації
- Тренди за курсом, командою та часом
-
Плануйте хвилі навчання від початку до кінця.
Задавайте дедлайни й пільгові періоди, націлюйте за командою чи роллю, а автоматичні нагадування підженуть тих, хто відстає.
- Повторювані запуски з продовженням дедлайнів
- Автоескалація менеджерам у зоні ризику
- Вікна зарахування, що враховують попередні проходження
-
Ведіть кожну групу до самого фінішу.
У кожної кампанії — власний простір: список учасників, аналітика та повний журнал аудиту. Спускайтеся від усієї групи до одного учня, який застряг.
- Живий відсоток завершення та середній прогрес групи
- Позначка ризику тієї ж миті, коли зривається дедлайн
- Повний журнал аудиту кожної зміни та її автора
-
Кожне місце, кожна ліцензія — на видноті.
Фільтруйте за командою чи роллю, потім масово запрошуйте, вимикайте чи передавайте місця, ніколи не виходячи за межі контракту.
- Живе використання ліцензій і кількість запрошень в очікуванні
- Призначення ролі, команди й менеджера просто в списку
- Масовий імпорт із CSV та автоматичний провіжинінг через SCIM
-
Повторіть свою оргструктуру.
Кожен менеджер бачить лише своїх прямих підлеглих і отримує сповіщення тієї ж миті, коли хтось із них відстає в навчанні.
- Дашборд менеджера, обмежена прямими підлеглими
- Сповіщення про ризик і пропущені дедлайни
- Зіставлення зовнішніх ID для синхронізації з HRIS
-
Докази, прив’язані до стандартів, на вимогу.
Кожне проходження зіставляється з контролями, які воно закриває. SOC 2, ISO 27001, HIPAA, NIST CSF і ще 21 стандарт — усе наживо.
- 25 стандартів зіставлено з коробки
- Відсоток завершення за кожним стандартом
- Потокові інтеграції з Vanta та Drata
-
Експорт для аудитора в один клік.
Звіти за тенантом, курсом або кампанією. Фільтруйте за командою й обирайте з 25 комплаєнс-стандартів. PDF або CSV.
- Фільтр за командою та стандартом перед експортом
- Щомісячна доставка за розкладом у скриньки GRC
- Формати звітів за користувачем і за групою
-
Постачайте кожну вправу через SCORM або LTI.
Експортуйте будь-який курс як zip SCORM 1.2 чи 2004 або запускайте його у своїй LMS через LTI 1.3. Викладачі через глибоке посилання відкривають саме потрібну вправу, курс чи шлях, а завершення й оцінки повертаються автоматично. Працює з Workday, Cornerstone, Moodle, Canvas та іншими.
- Експорт SCORM в один клік або запуск через LTI 1.3
- Глибокі посилання, передача оцінок (AGS) і синхронізація списків (NRPS)
- Перевірено на 50+ корпоративних LMS-платформах
-
Додавайте власні політики, відео та SCORM.
Завантажуйте внутрішні інструкції, довідники для працівників чи власні SCORM-пакети. Вставляйте їх у навчальні шляхи поруч із готовим навчанням.
- Завантаження PDF, зображень, відео та SCORM 1.2 / 2004
- Окремий крок у будь-якому навчальному шляху поруч із нашим контентом
- Відстеження та завершення за кожним користувачем в одному місці
-
LMS, якою ваші працівники справді користуватимуться.
Охайний каталог, видимий прогрес і сертифікати, що видаються одразу після завершення курсу. Багатомовна підтримка, щоб кожен працівник учився мовою, якою думає.
- Самостійний запис із прозорим прогресом
- Автоматичне видавання сертифікатів
- Багатомовний досвід для учнів
-
Гейміфікація, завдяки якій курси справді проходять до кінця.
Досягнення, які можна відкрити, рівні рідкісності й лічильник щоденної серії перетворюють навчання на те, до чого учні повертаються, а не уникають.
- Досягнення, що відкриваються протягом усього шляху учня
- Рівні рідкісності, завдяки яким кожна віха відчувається заслуженою
- Лічильник щоденної серії, який учні бережуть самі
Створено для корпоративного IT
Як RansomLeak підключається до систем ідентифікації, LMS та інструментів безпеки, якими ви вже користуєтесь.
Підключається до вашого стеку безпеки
SSO, SCIM і SIEM з коробки. Входьте через свій IdP, створюйте облікові записи з HRIS і передавайте кожну подію навчання в пайплайн вашого SOC.
- SSO через SAML 2.0 та OIDC з будь-яким IdP
- Автоматичний провіжинінг через SCIM 2.0 з HRIS
- Вебхуки до Splunk, Datadog і Sentinel
SCORM і LTI для вашої LMS
Розгортайте через пакети SCORM 1.2 і 2004 або запускайте через LTI 1.3 з автоматичною передачею оцінок.
- Працює з вашою наявною LMS через SCORM або LTI
- Без додаткової розробки
- Завершення й оцінки повертаються у ваш журнал оцінок
Хмара, приватна хмара або on-prem
Запускайте в нашій хмарі в регіоні США чи ЄС, у виділеній приватній хмарі або на власній інфраструктурі.
- Оберіть регіон США або ЄС під час реєстрації
- Виділена приватна хмара для одного клієнта в обраному регіоні
- Установлення on-premises для обмежених та ізольованих мереж
Останні статті блогу
Практичні матеріали про фішинг, безпеку ШІ та навчання з кібербезпеки. Пише команда, яка створює вправи.
ШІ в рекрутингу: упередженість, фейкові кандидати й закон
ШІ в рекрутингу пришвидшує найм і додає ризиків: як виникає упередженість, як фейкові кандидати проходять відеоспівбесіди та чого вимагає Закон ЄС про ШІ.
Читати статтю
Безпека даних у Copilot: чому ШІ-асистенти кажуть зайве
Безпека даних у Copilot починається з дозволів. Чому Microsoft 365 Copilot показує надмірно відкриті файли, як агенти розширюють доступ і що з цим робити.
Читати статтю
Місяць обізнаності з кібербезпеки 2026: теми та дати
У жовтні 2026 діють дві офіційні теми, а не одна. Дати, чого хочуть CISA та National Cybersecurity Alliance, і де взяти безкоштовні набори матеріалів.
Читати статтю