SecWatch — автоматизована система моніторингу безпеки веб-інфраструктури
57 перевірочних модулів · 6 категорій · OWASP Top 10 + MITRE ATT&CK · Звіти у стилі держ. звітності
Власна розробка BizFlow Universe
Перевірочних модулів
Категорій сканування
Exploit-перевірок
Контекст та задача
Держ. та корпоративні веб-ресурси регулярно піддаються спробам розвідки та атак. Більшість організацій не мають інструментів для систематичного моніторингу власної поверхні атаки. Ручний аудит — дорого і повільно, комерційні SaaS-рішення — не адаптовані до специфіки держ. звітності.
Що реалізовано
- 57 перевірочних модулів у 6 категоріях: Security Headers, TLS/SSL, Exposure/Recon, Exploit Vectors, Payload Checks, Informational
- 10 exploit-перевірок (CVE-linked, detection-only режим) + 8 payload-модулів / 3 payloads
- 15 параметризованих шаблонів запитів для масштабування перевірок
- База знань: 65 статей у 8 розділах для авто-наповнення розділу Recommendations у звіті
- Scoped OSINT-сканування + Active TCP Banner Scan
- Три формати звітів: HTML, SecWatch DOCX, Gov-style DOCX (оформлення у стилі держ. звітності)
- Зашифроване зберігання: Go-бекенд + Serpent-256 / XChaCha20-Poly1305 + HMAC-SHA256
Підхід
Розробити власну платформу, яка автоматично сканує домени, виявляє вразливості за 57 перевірочними модулями, класифікує їх за OWASP / MITRE та генерує звіти, придатні для внутрішнього використання та оформлені у стилі держ. звітності.
Технічний стек
| Component | Details |
|---|---|
| Scan Engine | Python: 18 файлів, 5 тестів, 57 модулів, 6 категорій |
| Exploit layer | 10 exploit-перевірок, 8 payload-модулів, 3 payloads, 15 templates |
| Knowledge base | 65 статей / 8 розділів, 1 docs-модуль |
| API routes | 7 внутрішніх маршрутів платформи |
| Backend storage | Go — автономне сховище звітів, відмовостійке, ізольоване |
| Frontend | TypeScript (веб-клієнт перегляду звітів) |
| Database | PostgreSQL / Supabase |
| Класифікація | OWASP Top 10:2021, MITRE ATT&CK (T1190, T1592 тощо) |
Результати сканування
Домен
dsbt.gov.ua (Держспецтрансслужба)
Дата сканування
25.03.2026, 10:41 Kyiv
Метод
Scoped OSINT + Active TCP Banner Scan
Знайдено субдоменів
42
Розподіл за критичністю
Всього знахідок
28
Security Score
0.0 / 100
Приклад знахідки (anonymized)
Відсутній Security Header: Content-Security-Policy
OWASP
A05:2021 Security Misconfiguration; A03:2021 Injection
MITRE ATT&CK
T1190 Exploit Public-Facing Application [Initial Access]
Рекомендація
Додати Content-Security-Policy у HTTP-відповідь сервера
Формати звітів
HTML Report
Автоматично, для перегляду в браузері
SecWatch DOCX
Корпоративний формат з executive summary
Gov-style DOCX
Оформлення у стилі держ. звітності, зручне для держ. замовників
Модульна архітектура
Security Headers
Наявність та коректність HTTP-заголовків безпеки: CSP, HSTS, X-Frame-Options, Permissions-Policy. OWASP A05:2021 Security Misconfiguration
TLS / SSL
Версії протоколу, cipher suites, термін дії та валідність сертифіката, підтримка HSTS preload, HPKP
Exposure / Recon
Виявлення субдоменів без WAF-захисту, прямих IP-адрес, DNS/WHOIS розвідка. MITRE T1592 Gather Victim Host Information
Exploit Vectors
10 перевірок на відомі вектори атак (CVE-linked). Режим: detection-only, без руйнівного впливу на цільову систему
Payload Checks
8 payload-модулів, 3 payload-навантаження. Активна перевірка на SQL/XSS/command injection та аномальну поведінку сервісів
Informational
Збір tech-стеку, HTTP-банерів, fingerprint CMS/framework. Базова розвідка для профілювання цілі
Результати
За 4 хвилини сканування домену dsbt.gov.ua виявлено 28 знахідок різного рівня критичності, включаючи 1 критичну та 11 високих. Автоматично згенеровано звіт у трьох форматах з рекомендаціями з бази знань (65 статей). Security Score: 0.0/100.
Замовити аудит
Обговоримо, як досягти подібних результатів у вашому бізнесі.