Question 1

Чем пентест отличается от сканирования уязвимостей?

Accepted Answer

Сканер автоматически ищет известные уязвимости по базе сигнатур и формирует список потенциальных проблем, в котором нередко бывают ложные срабатывания. Пентест — это ручная работа специалиста: он не только находит уязвимости, но и проверяет возможность их реальной эксплуатации, а также моделирует цепочки атак.

Question 2

Безопасно ли это для наших рабочих систем? Не «положите» ли вы продакшн?

Accepted Answer

Да, безопасно. Перед стартом мы согласовываем Rules of Engagement — документ, четко фиксирующий границы теста, разрешенные действия, окна тестирования и контакты для экстренной связи. Деструктивные техники применяем только по отдельному письменному согласию.

Question 3

Сколько времени занимает пентест и как выглядит процесс?

Accepted Answer

Срок зависит от объема работ и обычно составляет от 5 до 15 рабочих дней. Процесс включает согласование области тестирования и правил, разведку и сбор информации, поиск и безопасную эксплуатацию уязвимостей, анализ, подготовку и презентацию отчета, а также поддержку при устранении найденных проблем.

Question 4

Что мы получаем в результате?

Accepted Answer

Подробный отчет для вашей команды: каждая уязвимость описана с оценкой критичности по CVSS, шагами воспроизведения и конкретными рекомендациями по устранению.

Question 5

От чего зависит цена?

Accepted Answer

Цена формируется индивидуально и зависит от типа теста, внешней или внутренней инфраструктуры, размера и сложности системы, глубины проверки и сроков.

Question 6

Как вы гарантируете конфиденциальность и законность работ?

Accepted Answer

Перед началом подписываем NDA, а все работы выполняем только на основании официального разрешения от вас. Данные клиента храним в зашифрованном виде на изолированной инфраструктуре и удаляем после завершения проекта.

Тестирование на проникновение (Penetration Testing)

Пентест заказывают в конкретные моменты

Запуск нового продукта

Требование клиента или инвестора

Подготовка к сертификации

Не знаете уровень своей защищенности

Тестируем то, из-за чего вас реально могут атаковать

Тестирование веб и API

Как проходит работа

Запрос и первоначальная оценка

Скоупинг и подготовка

Тестирование и анализ

Отчет и рекомендации

Способ воспроизведения в отчете

Тестируем только легально и под вашим контролем

Самые распространенные уязвимости веб-приложений, API и инфраструктуры

Незащищенное хранение данных

Опасная передача данных

Слабая аутентификация

Нарушение контроля доступа

Инъекции кода

Межсайтовый скриптинг (XSS)

Ошибки бизнес-логики

Незащищенные API

Ошибки конфигурации и устаревшие компоненты

Методологии и инструменты пентеста