Пентест

Что это значит

Тестирование на проникновение - это управляемая попытка преодолеть защиту системы с согласия её владельца. Цель не перечень теоретических рисков, а доказательство того, что атакующему действительно удастся и с какими последствиями.

Объём согласуют заранее: внешняя сеть, веб-приложение, внутренняя сеть, социальная инженерия. Результат - отчёт с находками по степени серьёзности и с конкретными шагами по устранению.

Тест на проникновение - не то же самое, что автоматическое сканирование уязвимостей или проверка настроек межсетевого экрана. Сканер находит известные ошибки и выдаёт их список, а тестировщик пробует соединять слабые места цепочкой, как сделал бы атакующий, и только так видно, ведёт ли мелкая ошибка ко всей базе данных.

Как это работает на практике

Для обычной компании наиболее полезен тест сайта и интернет-магазина, где находятся данные клиентов и платежи, а также проверка удалённых доступов. Ему предшествует базовая гигиена: обновления, управляемые доступы и двухфакторная аутентификация.

Условием является письменное согласие с объёмом и временем: без него это неправомерный доступ к системе. Находки проверяют повторным тестом после исправления, иначе неизвестно, решена ли проблема.

Тот, у кого интернет-магазин на арендованной платформе, может тестировать лишь то, что принадлежит ему, а на остальное нужно согласие поставщика по его правилам. Результаты теста пригодятся и при заключении киберстрахования, потому что страховщики в анкете спрашивают, как компания проверяет свою защиту.

На что обратить внимание

Тест - это снимок во времени: он действует для состояния на день его проведения, а не навсегда. После существенного изменения приложения или инфраструктуры его повторяют, а находки, затрагивающие персональные данные, оценивают и с точки зрения GDPR.

Тест на рабочей системе может вызвать сбой или изменить данные, особенно в формах и платежах. Поэтому заранее согласуют временное окно и контактных лиц с обеих сторон и проверяют свежую резервную копию данных, чтобы возможный ущерб можно было быстро откатить.