# Как проходит пентест: этапы, доступы и результат — DESTINY

Источник: [https://destiny.by/approach.html](https://destiny.by/approach.html)

Обновлено: 2026-10-31

Подход

## Как проходит *пентест.*

От согласованной задачи до отчёта и проверки исправлений. На каждом этапе понятно, что делаем и какой результат передаём.

[Пример отчёта](https://destiny.by/report-example.html)

## Пять этапов проверки

1. Определяем задачу Разбираем продукт, важные данные и операции. Выбираем системы, роли пользователей и глубину доступа. Фиксируем сроки, стоимость, ограничения и условия ретеста.
2. Готовим сценарии Изучаем архитектуру и интеграции. Определяем, откуда может начаться атака и к каким данным или действиям она может привести.
3. Проводим проверку Проверяем доступ, логику операций и сочетания ошибок. Сохраняем доказательства. О критичных находках сообщаем сразу по выбранному каналу.
4. Передаём отчёт Объясняем риск и приоритет исправлений. Разбираем результаты с разработчиками и отвечаем на вопросы по рекомендациям.
5. Проверяем исправления Повторяем сценарии на обновлённой версии. Для каждой находки указываем, закрыта ли проблема и что осталось проверить.

## Методики и работа с данными

Для Web и API используем рекомендации OWASP, для AI-систем — OWASP GenAI и MITRE ATLAS. Программу проверки составляем под архитектуру продукта и реальные действия пользователей.

- [OWASP Web Security Testing Guide](https://owasp.org/projects/web-security-testing-guide)
- [OWASP API Security](https://owasp.org/projects/api-security-project)
- [OWASP GenAI](https://genai.owasp.org/llm-top-10/) и [MITRE ATLAS](https://atlas.mitre.org/)

До старта определяем разрешённые действия, рабочие окна и контакт для остановки проверки. Доступы и закрытые материалы передаются по отдельно выбранному каналу.

## Вопросы перед стартом

### Чем пентест отличается от сканирования?

Сканер находит признаки типовых проблем. Пентест проверяет, можно ли использовать их в вашем продукте: получить чужие данные, повысить права или обойти правила. В отчёт попадают подтверждённые результаты с доказательствами.

### Что нужно для начала?

Адреса систем, роли пользователей и описание важных операций. Для проверки после входа понадобятся тестовые аккаунты. Для API полезна документация, для AI — схема источников знаний и доступных инструментов. Доступы передаются отдельно от первого обращения.

### Можно проверить одну функцию?

Да. Можно начать с отдельного API, личного кабинета, AI-функции или критичной операции. В объём включим связанные способы доступа к тем же данным и действиям.

### Можно проверять рабочую систему?

Среду выбираем до старта. Для рабочей системы определяем окна, допустимую нагрузку и порядок остановки. Сценарии, которые могут повлиять на данные или доступность, переносим на тестовую среду.

### Сколько стоит пентест и сколько он длится?

Оценка зависит от числа систем и ролей, бизнес-логики, интеграций и глубины проверки. Для AI также важны RAG-источники и инструменты агента. Стоимость и сроки фиксируем в предложении после знакомства с задачей.

### Когда сообщите о критичной уязвимости?

По заранее выбранному каналу, без ожидания итогового отчёта. Передадим затронутую область, возможное влияние и доказательства, необходимые для решения об исправлении.

### Как используются AI-инструменты?

Они помогают разбирать материалы и проверять гипотезы. Специалист подтверждает находки и оценивает влияние. Использование внешних моделей и передачу данных проекта согласуем до начала работ.

### Что входит в ретест?

Повторная проверка известных находок после исправлений. Для каждой фиксируем версию, условия и статус. Новые функции оцениваем отдельно.

### Что означает отсутствие находок?

В выбранном объёме и проверенной версии не удалось подтвердить уязвимости. Это не гарантия отсутствия всех ошибок. В отчёте указываем проверенные области и ограничения.

## Обсудим вашу задачу

Расскажите о продукте и сроках. Определим подходящий объём проверки.