Внешний пентест
Проверка со стороны интернета, как у атакующего снаружи. Сайт, почта, VPN, публичные сервисы, всё, что торчит наружу. Отвечает на вопрос, можно ли попасть внутрь снаружи.
Аудит ИБ
Тестирование на проникновение (пентест)
Проверяем защиту в деле: не составляем список уязвимостей, а показываем, можно ли реально проникнуть в вашу инфраструктуру, как далеко удастся продвинуться и к чему это приведёт. Контролируемая имитация действий атакующего — без ущерба для систем.
Сканер находит уязвимости по одной. Пентест собирает их в цепочку и доводит до конкретного результата: доступ к домену, к базе клиентов, к деньгам. Это разница между «теоретически опасно» и «вот как именно нас взломают».
Суть подхода
Что даёт пентест, чего не дают другие проверки
Сканер уязвимостей отвечает на вопрос, какие дыры есть. Аудит конфигураций — правильно ли всё настроено. Пентест отвечает на вопрос, который волнует руководство больше всего: можно ли этим реально воспользоваться и что за этим стоит.
Отдельная уязвимость средней критичности сама по себе не выглядит страшно. Но опытный атакующий редко использует одну: он связывает несколько мелких недочётов в цепочку, которая приводит к серьёзному последствию. Слабый пароль на неважном сервере плюс лишний доступ плюс незакрытая уязвимость — и вот уже контроль над доменом. Ни один сканер такую цепочку не покажет, потому что каждое звено по отдельности некритично.
Пентест находит именно цепочки и доводит их до конца — до демонстрации реального последствия, но без нанесения ущерба.
Классификация
Виды тестирования
По объекту:
Внутренний пентест
Проверка изнутри сети — модель «атакующий уже внутри»: получил доступ через фишинг, подрядчика или проходную. Показывает, как далеко можно продвинуться от рядового сотрудника до контроля над инфраструктурой.
Пентест веб-приложений
Углублённая проверка конкретного сайта, портала, личного кабинета или API, включая уязвимости бизнес-логики. Пересекается с отдельной услугой аудита защищённости веб-приложений — для одного приложения обычно берут её, для проверки в составе инфраструктуры — пентест.
Социальная инженерия
Проверка людей, а не техники: контролируемая фишинговая рассылка, звонки, попытка получить доступ через сотрудников. Показывает, сработает ли обучение персонала под реальным давлением. Проводится как отдельный сценарий по согласованию — с предупреждением руководства и в рамках правил проведения.
Информация о системе
Скорость
Охват
Чёрный ящик
Без информации, как у внешнего атакующего с нуля
Дольше
Максимально реалистично
Серый ящик
Частичные данные: учётные записи, схема сети
Средняя
Оптимальный баланс глубины и трудозатрат
Белый ящик
Полная информация об архитектуре
Быстрее
Максимальный охват за отведённое время
Частая путаница
Пентест — это не Red Team
Разница принципиальная, и её важно понимать при выборе.
Пентест
Согласованная проверка конкретных объектов в известном объёме и в оговорённый срок. Задача — найти как можно больше реальных путей проникновения. Защитники обычно знают, что идёт тест.
Проверка защищённости
Red Team
Скрытная имитация реального противника, растянутая во времени. Защитники (SOC) не знают об учении. Задача — не найти все дыры, а достичь конкретной цели незамеченным.
Проверка обнаружения и реакции
Подготовка
Что нужно для старта работ
Цели теста: что проверяем и что считается успехом — «достаточно попасть внутрь» или «добраться до конкретной системы»
Объект и границы: внешний периметр, внутренняя сеть, конкретные приложения, что трогать нельзя
Вид теста: чёрный, серый или белый ящик; для серого и белого — предоставляемые данные и учётные записи
Среда: боевая или тестовая, согласованное окно работ
Контакты доверенных лиц на вашей стороне, знающих о тесте, — для экстренной связи
Письменное разрешение на проведение работ по указанным ресурсам
Этапы проекта
Как проходит пентест
Согласуем цели, объём и правила
Определяем, что проверяем, что считается успехом, какие ограничения действуют. Оформляем разрешение и правила проведения.
Разведка
Собираем информацию о цели теми же методами, что и атакующий: что доступно снаружи, какие сервисы, технологии, точки входа.
Поиск и проверка путей проникновения
Ищем уязвимости и слабые места, проверяем возможность их эксплуатации. Подтверждаем реализуемость на практике, а не по признакам.
Развитие атаки
Из первой точки доступа продвигаемся дальше — как это делал бы реальный атакующий: повышение прав, перемещение по сети, приближение к цели. В согласованных границах и без разрушительных действий.
Демонстрация последствия
Доводим до наглядного результата: вот доступ, который удалось получить, вот что за ним. Без ущерба реальным данным и работе систем.
Отчёт
Описываем каждый подтверждённый вектор: как воспроизвести, что дало, какова причина, как закрыть. Отдельно — сводка для руководства и оценка общего уровня защищённости.
Разбор и повторная проверка
Проходим результаты с командой, помогаем с приоритетами. После устранения проверяем, что найденные пути действительно закрыты.
Результат
Что вы получаете
01
Перечень подтверждённых векторов проникновения с уровнем риска по каждому
02
По каждому вектору: шаги воспроизведения, что удалось получить, первопричина, как закрыть
03
Описание построенных цепочек атак — как отдельные недочёты складывались в реальный доступ
04
Разделение на критичное, требующее немедленного устранения, и второстепенное
05
Сводку для руководства: удалось ли проникнуть, как глубоко, что это значит для бизнеса — без технических деталей
06
При социальной инженерии — статистику без персональных обвинений: сколько сотрудников поддались, на каком этапе, что улучшить в обучении
07
Рекомендации по устранению на языке администраторов и разработчиков
08
Повторную проверку закрытия найденных путей
Стандарты
На что опираемся
OWASP Testing Guide и OWASP Top 10для веб-составляющей
PTES, OSSTMM, NIST SP 800-115общепризнанные методики тестирования на проникновение — как основа последовательности работ
MITRE ATT&CKкак язык описания техник при развитии атаки
Методические документы ФСТЭК Россиипо анализу уязвимостей и оценке угроз — в части, применимой к защищаемым системам
Требования заказчика и регуляторовесли тест проводится для подтверждения соответствия или в рамках требований к значимым объектам
Отдельный вопрос
Безопасность самого теста
Отдельно, потому что это первый вопрос, который задают.
- Работаем в согласованных границах. Что нельзя трогать — не трогаем. Границы фиксируются письменно до старта.
- Не разрушаем. Подтверждение уязвимости доводим до демонстрации возможности, но не до ущерба: не портим данные, не выводим системы из строя.
- Держим связь. У вас есть доверенное лицо, с которым мы на связи; при риске для критичной системы работа немедленно останавливается.
- Осторожны с чувствительными системами. Для АСУ ТП, медицинского оборудования и подобного согласуем щадящий режим или проверку на тестовой среде.
- Соблюдаем конфиденциальность. Всё, что стало известно в ходе теста, остаётся между нами; работаем по соглашению о неразглашении.
Сроки
Сроки и стоимость
Срок и стоимость зависят от объёма и вида теста. На объём влияет:
Вид: внешний, внутренний, веб, социальная инженерия или комплекс
Уровень знаний: чёрный, серый, белый ящик
Размер периметра и число объектов
Цели: общая проверка или достижение конкретного результата
Нужна ли повторная проверка после устранения
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- Офисы в Самаре, Оренбурге, Нижнем Новгороде и Москве
- Лицензии ФСТЭК и ФСБ
- Подтверждаем каждый вектор на практике: в отчёте нет находок, которые нельзя воспроизвести
- Строим цепочки атак, а не отдаём список разрозненных уязвимостей — показываем, как из мелочей складывается реальный взлом
- Проектируем и внедряем защиту сами, поэтому рекомендации по устранению реалистичны и учитывают, что вам с этим потом жить
- Проводим повторную проверку и подтверждаем закрытие найденных путей
Вопросы
Частые вопросы
Чем пентест отличается от аудита уязвимостей?
Аудит уязвимостей находит известные дыры широко, по всей инфраструктуре. Пентест берёт часть из них и проверяет, можно ли реально пробить защиту, связывая уязвимости в цепочку. Аудит — «какие дыры есть», пентест — «можно ли этим воспользоваться и что за этим».
Чем пентест отличается от Red Team?
Пентест — согласованная проверка защищённости в известном объёме, защитники обычно знают о тесте. Red Team — скрытная имитация реального противника, при которой проверяется, заметит ли ваша команда защиты атаку. Сначала обычно нужен пентест, Red Team — когда защита уже выстроена.
Вы не сломаете нам систему?
Нет. Подтверждение уязвимостей доводим до демонстрации возможности, но не до ущерба. Границы, стоп-слово и порядок остановки фиксируем письменно до старта, для чувствительных систем — щадящий режим или тестовая среда.
Наши сотрудники узнают, что их проверяют?
При социальной инженерии — нет, иначе теряется смысл. Результат подаётся как статистика без персональных обвинений: цель не наказать людей, а понять, где усилить обучение. Отдельные доверенные лица на вашей стороне о тесте знают.
Как часто проводить пентест?
Как минимум после существенных изменений инфраструктуры и периодически — раз в год или чаще для критичных систем. Для значимых объектов периодичность может определяться требованиями.
Что делать с отчётом, если у нас нет своей команды ИБ?
Рекомендации написаны так, чтобы их можно было передать администраторам или подрядчику. При необходимости поможем с устранением сами и проверим результат.
Начать проект
Проверить, можно ли вас взломать
Расскажите о задаче — что проверяем, внешний периметр, внутренняя сеть, приложение или люди, есть ли конкретная цель. Согласуем объём, правила и назовём срок и стоимость.