Пентест

Що це означає

Тестування на проникнення - це керована спроба подолати захист системи за згодою її власника. Мета не перелік теоретичних ризиків, а доказ того, що нападнику справді вдасться і з якими наслідками.

Обсяг узгоджують заздалегідь: зовнішня мережа, вебзастосунок, внутрішня мережа, соціальна інженерія. Результат - звіт зі знахідками за ступенем серйозності і з конкретними кроками усунення.

Тест на проникнення - не те саме, що автоматичне сканування вразливостей чи перевірка налаштувань міжмережевого екрана. Сканер знаходить відомі помилки і видає їхній перелік, а тестувальник пробує поєднувати слабкі місця ланцюжком, як зробив би нападник, і лише так видно, чи веде дрібна помилка до всієї бази даних.

Як це працює на практиці

Для звичайної компанії найкорисніший тест сайту та інтернет-магазину, де є дані клієнтів і платежі, а також перевірка віддалених доступів. Йому передує базова гігієна: оновлення, керовані доступи та двофакторна автентифікація.

Умовою є письмова згода з обсягом і часом: без неї це неправомірний доступ до системи. Знахідки перевіряють повторним тестом після виправлення, інакше невідомо, чи вирішена проблема.

Хто має інтернет-магазин на орендованій платформі, може тестувати лише те, що належить йому, а на решту потрібна згода постачальника за його правилами. Результати тесту знадобляться і під час укладення кіберстрахування, бо страховики в анкеті питають, як компанія перевіряє свій захист.

На що звернути увагу

Тест - це знімок у часі: він діє для стану на день його проведення, а не назавжди. Після суттєвої зміни застосунку чи інфраструктури його повторюють, а знахідки, що стосуються персональних даних, оцінюють і з погляду GDPR.

Тест на робочій системі може спричинити збій або змінити дані, особливо у формах і платежах. Тому заздалегідь погоджують часове вікно і контактних осіб з обох боків та перевіряють свіжу резервну копію даних, щоб можливу шкоду можна було швидко відкотити.