Подход
Как проходит
пентест.
От согласованной задачи до отчёта и проверки исправлений. На каждом этапе понятно, что делаем и какой результат передаём.
Пять этапов проверки
- 01
Определяем задачу
Разбираем продукт, важные данные и операции. Выбираем системы, роли пользователей и глубину доступа. Фиксируем сроки, стоимость, ограничения и условия ретеста.
- 02
Готовим сценарии
Изучаем архитектуру и интеграции. Определяем, откуда может начаться атака и к каким данным или действиям она может привести.
- 03
Проводим проверку
Проверяем доступ, логику операций и сочетания ошибок. Сохраняем доказательства. О критичных находках сообщаем сразу по выбранному каналу.
- 04
Передаём отчёт
Объясняем риск и приоритет исправлений. Разбираем результаты с разработчиками и отвечаем на вопросы по рекомендациям.
- 05
Проверяем исправления
Повторяем сценарии на обновлённой версии. Для каждой находки указываем, закрыта ли проблема и что осталось проверить.
Методики и работа с данными
Для Web и API используем рекомендации OWASP, для AI-систем — OWASP GenAI и MITRE ATLAS. Программу проверки составляем под архитектуру продукта и реальные действия пользователей.
До старта определяем разрешённые действия, рабочие окна и контакт для остановки проверки. Доступы и закрытые материалы передаются по отдельно выбранному каналу.
Вопросы перед стартом
Чем пентест отличается от сканирования?
Сканер находит признаки типовых проблем. Пентест проверяет, можно ли использовать их в вашем продукте: получить чужие данные, повысить права или обойти правила. В отчёт попадают подтверждённые результаты с доказательствами.
Что нужно для начала?
Адреса систем, роли пользователей и описание важных операций. Для проверки после входа понадобятся тестовые аккаунты. Для API полезна документация, для AI — схема источников знаний и доступных инструментов. Доступы передаются отдельно от первого обращения.
Можно проверить одну функцию?
Да. Можно начать с отдельного API, личного кабинета, AI-функции или критичной операции. В объём включим связанные способы доступа к тем же данным и действиям.
Можно проверять рабочую систему?
Среду выбираем до старта. Для рабочей системы определяем окна, допустимую нагрузку и порядок остановки. Сценарии, которые могут повлиять на данные или доступность, переносим на тестовую среду.
Сколько стоит пентест и сколько он длится?
Оценка зависит от числа систем и ролей, бизнес-логики, интеграций и глубины проверки. Для AI также важны RAG-источники и инструменты агента. Стоимость и сроки фиксируем в предложении после знакомства с задачей.
Когда сообщите о критичной уязвимости?
По заранее выбранному каналу, без ожидания итогового отчёта. Передадим затронутую область, возможное влияние и доказательства, необходимые для решения об исправлении.
Как используются AI-инструменты?
Они помогают разбирать материалы и проверять гипотезы. Специалист подтверждает находки и оценивает влияние. Использование внешних моделей и передачу данных проекта согласуем до начала работ.
Что входит в ретест?
Повторная проверка известных находок после исправлений. Для каждой фиксируем версию, условия и статус. Новые функции оцениваем отдельно.
Что означает отсутствие находок?
В выбранном объёме и проверенной версии не удалось подтвердить уязвимости. Это не гарантия отсутствия всех ошибок. В отчёте указываем проверенные области и ограничения.
Обсудим вашу задачу
Расскажите о продукте и сроках. Определим подходящий объём проверки.