Количество информационных систем и цифровых сервисов постоянно растет, а вместе с ними увеличивается и число угроз. Чтобы оценить, насколько информационная инфраструктура организации готова к защите, проводится тестирование на проникновение (пентест). В статье разберем, что представляет собой пентест, как он проводится и какую пользу приносит организации.
Что такое пентест и зачем он нужен бизнесу?
Пентест (тестирование на проникновение) — это метод оценки защищенности ИТ-систем путем моделирования действий реального нарушителя.
Эксперты по безопасности в контролируемых условиях пытаются «взломать» инфраструктуру компании теми же методами, что используют настоящие злоумышленники. Цель пентеста — выявить уязвимые места до того, как ими воспользуются нарушители.
Разница пентеста и аудита информационной безопасности
Аудит информационной безопасности (ИБ) и тестирование на проникновение решают разные задачи, хотя пентест нередко входит в состав аудита.
Аудит ИБ позволяет оценить соответствие требованиям законодательства, нормативных документов и внутренних регламентов. В ходе аудита эксперты анализируют документацию, архитектуру, настройки средств защиты и действующие процессы обеспечения безопасности.
Пентест дополняет такую проверку практической оценкой защищенности. Его задача — определить, сможет ли злоумышленник воспользоваться обнаруженными уязвимостями и к каким последствиям это может привести.
Например, в ходе аудита может быть выявлена устаревшая версия веб-сервера. Пентест покажет, можно ли использовать эту уязвимость для получения доступа к базе данных, учетным записям пользователей или другим критически важным ресурсам организации.
Современные атаки редко используют одну уязвимость. Обычно злоумышленники объединяют несколько слабых мест в единую цепочку.
Проведение тестирования на проникновение позволяет:
выявить реальные пути атаки;
определить уязвимости;
проверить эффективность существующих средств защиты;
оценить последствия возможного взлома;
определить, какие уязвимости необходимо устранить в первую очередь;
сократить вероятность финансовых и репутационных потерь.
Компания получает не абстрактный список рисков, а конкретный сценарий атаки с демонстрацией реальных последствий.
Кому необходим пентест
Проведение ежегодной проверки на проникновение обязательно для:
некредитных финансовых организаций на основе 1.4.5 Положения Банка России № 757-П;
филиалов иностранных банков (Положение Банка России №851-П);
для организаций, на которые распространяются требования Банка России, в частности для банков, платежных организаций и других участников платежной инфраструктуры, подпадающих под действие Положения № 821-П;
участников платформы цифрового рубля;
Для большинства организаций тестирование на проникновение не является обязательной процедурой, однако его проведение крайне рекомендуется, если успешная атака может привести к финансовым потерям, остановке процессов, утечке конфиденциальной информации или ущербу для клиентов.
В первую очередь пентест целесообразно проводить организациям, которые:
- используют сайты, личные кабинеты, API и другие сервисы, доступные из интернета;
- обрабатывают платежные данные, персональные данные или коммерческую тайну;
- используют облачную инфраструктуру, мобильные приложения или SaaS-платформы;
- недавно модернизировали информационные системы, сетевую инфраструктуру или прикладное программное обеспечение;
- ранее сталкивались с инцидентами информационной безопасности, утечками данных или эксплуатацией уязвимостей.
Регулярное проведение пентеста позволяет своевременно обнаружить слабые места в информационной инфраструктуре и устранить их до того, как они приведут к простою систем, финансовым потерям или другим серьезным последствиям.
Виды тестирования на проникновение
1. Внешний пентест
Цель проверки — оценка защищенности публичных ресурсов, доступных из интернета.
Во время проверки анализируются:
- веб-сайты;
- VPN-шлюзы;
- облачные сервисы;
- удаленные точки доступа.
Задача экспертов ИБ — понять, может ли злоумышленник извне проникнуть во внутреннюю сеть компании. Внешнее тестирование на проникновение особенно важно для компаний с удаленными сотрудниками, поскольку каждая точка удаленного доступа — это потенциальная лазейка.
2. Внутренний пентест
Внутреннее тестирование на проникновение моделирует ситуацию, когда злоумышленник уже оказался внутри корпоративной сети. Это может быть недобросовестный сотрудник, подрядчик или злоумышленник, получивший доступ через взломанную учетную запись.
Во время проверки эксперты ИБ анализируют:
- сегментацию сети;
- права пользователей;
- политики доступа;
- безопасность серверов и рабочих станций.
3. Web-пентест (тестирование веб-приложений)
Большинство атак начинается именно через веб-ресурсы, так как веб-сайты и сервисы — это лицо компании и частое место входа для хакеров. Поэтому тестирование веб-приложений на проникновение остается одним из самых востребованных направлений.
Проверяются:
- механизмы аутентификации;
- управление сессиями;
- разграничение прав доступа;
- SQL-инъекции;
- XSS;
- CSRF;
- ошибки бизнес-логики;
- безопасность API;
- защита персональных данных.
Кроме перечисленных базовых видов пентеста, существуют и другие форматы проверки — Red Team и тестирование методами социальной инженерии.
Red Team имитирует продолжительную атаку хакеров. В проверке участвуют сразу две стороны — и те, кто атакует, и те, кто защищает. Такая проверка максимально приближена к реальности и, в отличие от классического пентеста с фиксированными рамками, может длиться неделями — именно так и проверяется способность бизнеса обнаруживать и реагировать на атаку в реальном времени.
Социальная инженерия проверяет не технику, а людей: насколько сотрудники устойчивы к манипуляциям, фишинговым письмам, звонкам от «службы поддержки» или попыткам получить доступ под видом курьера или подрядчика.
Практика показывает, что даже при идеально настроенной технической защите один невнимательный клик по вредоносной ссылке способен свести на нет все усилия отдела информационной безопасности. Такой комплекс для тестирования на проникновение подходит зрелым организациям, которые уже прошли базовые проверки и хотят оценить реальную устойчивость ко всем типам угроз одновременно — и техническим, и человеческим.
Как проходит проведение пентеста?
1. Подготовка и согласование. На старте определяются границы тестирования: что можно проверять, а что — нет, какими методами, в какие сроки. Подписывается договор о конфиденциальности.
2. Сбор информации. Эксперты анализируют открытые источники (OSINT), сканируют сеть, выявляют используемые сервисы и программное обеспечение. На этом этапе применяются такие инструменты, как Nmap, Nessus и другие сканеры уязвимостей — они помогают составить карту потенциальных точек входа.
3. Моделирование атак. Эксперты эксплуатируют найденные уязвимости, чтобы получить реальный доступ к системам. Именно на этом этапе становится очевидной разница между формальным сканированием на уязвимости и полноценным пентестом: сканер лишь указывает на потенциальную проблему, а эксперт показывает ее эксплуатируемость и реальную опасность для бизнеса.
4. Анализ и закрепление. После получения первичного доступа эксперты оценивают, какой ущерб может нанести злоумышленник: получит права администратора, доберется до базы данных, закрепится в системе для длительного присутствия. Это позволяет понять полную глубину риска, а не только факт наличия уязвимости.
5. Подготовка отчета. Формируется итоговый документ, который передается заказчику.
Результат пентеста — что вы получите в итоге?
Пример одного из используемых форматов отчётности по итогам пентеста.
Сформированный отчет будет понятен как руководству компании, так и техническим специалистам.
Отчет включает:
Executive Summary — краткое изложение для руководителя на простом языке о главных рисках и их бизнес-последствиях.
Технический отчет для IT-специалистов с детальным описанием каждой уязвимости, шагов ее эксплуатации и доказательств (скриншотов, логов).
В отчет обязательно входят обнаруженные критические уязвимости с примерами эксплуатации, а также рекомендации по устранению каждой проблемы с расставленными приоритетами — что нужно закрыть немедленно, а что можно запланировать на среднесрочную перспективу.
Форма отчета не регламентирована законодательством, однако профессиональные компании придерживаются единой логики оформления. Как правило, отчет содержит описание целей и границ тестирования, выявленные уязвимости с подтверждением их эксплуатации, выводы по результатам проверки и рекомендации по устранению обнаруженных недостатков.
После получения отчета обычно проводится консультация по итогам, а после устранения уязвимостей заказчик может запросить повторное тестирование — чтобы убедиться, что проблемы действительно закрыты.
Юридические аспекты и стоимость
Важный момент: в соответствии с Постановлением Правительства РФ № 79, деятельность по тестированию на проникновение является лицензируемой. Проводить пентест имеют право только компании с лицензией ФСТЭК на техническую защиту конфиденциальной информации (ТЗКИ).
Лицензия гарантирует, что вы работаете с легальной и ответственной организацией, которая несет ответственность за свои действия и соблюдает установленные регламенты работы с чувствительными данными заказчика.
Стоимость пентеста не фиксирована и зависит от нескольких факторов:
масштаба инфраструктуры (количества IP-адресов, серверов, приложений);
типа тестирования (внешний пентест, как правило, дешевле комплексной проверки, объединяющей внутреннее и внешнее тестирование);
сложности архитектуры;
необходимости повторной проверки после устранения найденных проблем.
Рекомендуется проводить пентест на проникновение как минимум ежегодно, а также дополнительно после любых серьезных изменений в инфраструктуре: миграции в облако, запуска нового сервиса, крупного обновления систем.
Тестирование на проникновение — это не роскошь и не разовая формальность, а необходимый элемент обеспечения информационной безопасности для любой компании. Это «иммунитет» к кибератакам, который позволяет вовремя обнаружить слабые места и устранить их до того, как это сделают злоумышленники.
Хотите узнать, насколько безопасен ваш бизнес? Закажите консультацию на сайте, напишите на почту или оставьте заявку по телефону. Эксперты УИБ проведут тестирование на проникновение и предоставят детальный план по усилению вашей защиты.