Как заказать пентест: задание, рамки, приёмка и устранение

Тест на проникновение (пентест) — это независимая проверка, которую вы заказываете, чтобы узнать, как защиту обойдёт квалифицированный нарушитель. Результат зависит не столько от исполнителя, сколько от того, как заказчик сформулировал задание: что проверяется, какими методами, в какие сроки и что делать с итогом. Ниже порядок заказа: от цели до приёмки отчёта и плана исправлений. Статья описывает работу заказчика и не содержит приёмов атак.

Статья опирается на логику направления «Тесты на проникновение» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Проверка допустима только на ваших системах или с письменного согласия их владельца; юридические формулировки договора согласуйте с юристом.

Что должно получиться

Уровень	Что это значит на практике
1. Базовый	Внешний периметр проверяется сканером
2. Гигиенический	Раз в год или после крупных изменений проводится независимый тест по согласованному заданию; результаты превращаются в задачи со сроками

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Когда пентест нужен, а когда рано

Пентест дорог, и его результат ценен, когда базовая гигиена уже есть. Если у вас не закрыты известные уязвимости, нет MFA и копий, подрядчик найдёт то, что вы и так знаете. Сначала наведите порядок: управление уязвимостями, базовая настройка серверов. Тест имеет смысл перед выходом нового сервиса, после крупных изменений, по требованию партнёров и регуляторов и не реже раза в год для критичных систем.

Чем отличается сканирование, аудит и пентест

Что	Суть	Результат
Сканирование уязвимостей	Автоматический поиск известных уязвимостей	Список находок, много ложных срабатываний: как читать отчёт
Аудит конфигурации	Сверка настроек с эталоном (CIS, ФСТЭК)	Отклонения от рекомендаций
Пентест	Ручная проверка цепочек атак с целью достичь конкретного результата	Доказанные пути проникновения и их последствия

Шаг 1. Сформулируйте цель

Цель — вопрос бизнеса, а не список технологий. Примеры: «Сможет ли внешний нарушитель получить доступ к базе клиентов?», «Сможет ли сотрудник с обычной учётной записью стать администратором?», «Защищён ли новый сервис перед запуском?». От цели зависит тип теста.

Тип	Что известно исполнителю	Когда выбирать
Чёрный ящик	Почти ничего, как внешнему нарушителю	Оценка внешнего периметра
Серый ящик	Учётная запись обычного пользователя и часть документации	Новый сервис, поиск в приложении, внутренний нарушитель
Белый ящик	Доступ к конфигурации и коду	Глубокая проверка критичного приложения

Шаг 2. Определите границы

В рамках: перечень адресов, доменов, приложений, сетей (из реестра активов).
Вне рамок: системы подрядчиков и облачных провайдеров, если нет их согласия; рабочие станции, если не заявлено; производственные системы с риском остановки.
Запрещённые методы: отказ в обслуживании, физическое проникновение, социальная инженерия сотрудников (если не заказана отдельно), порча и вывоз реальных данных.
Сроки и окно работ: даты, время суток, ограничения для критичных сервисов.
Допустимый ущерб: что делать, если проверка вызвала сбой.

Шаг 3. Оформите допуск и правила работ

Правила работ — документ, который защищает обе стороны. Минимальный состав:

письменное разрешение владельца систем на тестирование в указанных рамках и сроках (если часть систем у третьей стороны, их разрешение тоже нужно);
соглашение о конфиденциальности: результаты и данные остаются у заказчика;
перечень IP-адресов, с которых работает исполнитель, и контакты для связи на время работ, включая телефон дежурного;
порядок остановки: условия, при которых тест приостанавливается немедленно;
порядок обработки найденных данных: не копировать лишнее, не выносить, после работ удалить;
правила для критичных находок: сообщать сразу, не дожидаясь отчёта.

Предупредите свой мониторинг и дежурных: сигналы пентеста не должны запускать полноценный инцидент (или, наоборот, это часть проверки реакции, но решать надо заранее). Если тест затрагивает персональные данные, согласуйте обработку с ответственным за ПДн и укажите это в договоре.

Шаг 4. Выберите исполнителя

Критерий	Что спросить
Опыт и специализация	Примеры похожих проектов, опыт с вашими технологиями
Команда	Кто конкретно будет работать, какая квалификация и подтверждения
Методика	Какими методиками и стандартами пользуются, как делят этапы
Отчёт	Пример обезличенного отчёта: понятен ли руководителю и инженеру
Безопасность исполнителя	Как хранят ваши данные и результаты, как защищают рабочие станции
Юридическая сторона	Ответственность, страхование, соглашение о конфиденциальности, лицензии, если это требуется для вашей области
Повторная проверка	Входит ли в стоимость проверка исправлений

Не покупайте «пентест» по цене сканера: если в предложении нет ручной работы и описания методики, это сканирование.

Шаг 5. Что требовать в отчёте

краткое резюме для руководства: главные выводы, оценка защищённости, самые опасные пути;
описание методики, рамок и ограничений: что не проверялось;
для каждой находки: название, уровень опасности, затронутые системы, шаги воспроизведения, доказательства, последствия, рекомендации по исправлению;
цепочки: как мелкие находки складывались в серьёзный путь;
приоритизация: что исправить первым и почему;
приложения с техническими данными в защищённом виде.

Следите, чтобы отчёт не был скопированным выводом сканера. Опасность должна быть оценена с учётом вашего контекста, а не только общей шкалой.

Шаг 6. Примите результаты и составьте план устранения

Разберите отчёт вместе с исполнителем: что неясно, что спорно, что воспроизводится.
Каждую находку превратите в задачу с владельцем и сроком. Сроки связывайте с критичностью, как в процессе управления уязвимостями.
Для находок, которые не исправляются, оформите принятие риска письменно и внесите в реестр рисков.
Проведите повторную проверку исправленного исполнителем и зафиксируйте результат.
Сделайте выводы для процессов: если находки повторяются (пароли, обновления, настройки), меняйте не отдельные места, а процесс.

Диагностика

Симптом	Причина и что делать
Отчёт полон мелких находок и ничего об опасных путях	Проверка свелась к сканированию. Потребуйте цепочки и ручную проверку, уточните методику в договоре
Во время теста упал сервис	Не были определены окна и допустимый ущерб. Остановите работы, разберите причину, обновите правила
Находки не исправляются	Нет владельцев и сроков. Превратите их в задачи, ежемесячно докладывайте руководителю
Те же находки в следующем году	Исправляли симптомы, а не причины. Проанализируйте процессы: обновления, права, конфигурации

Где это в модели зрелости

Материал относится к направлению «Тесты на проникновение» (карта: карта зрелости). Уровень 1 закрывает проверка внешнего периметра сканером, уровень 2 добавляет независимый тест по согласованному заданию и превращение результатов в задачи со сроками. Результаты теста питают реестр рисков и процесс управления уязвимостями.

Как проверить

Есть письменное задание с целью, границами, запрещёнными методами и окном работ.
Разрешение владельца и соглашение о конфиденциальности подписаны до начала.
Отчёт содержит резюме, цепочки и рекомендации, а не только список находок сканера.
Каждая находка получила владельца и срок, критичные проверены повторно.

Источники

Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
NIST SP 800-115, Technical Guide to Information Security Testing and Assessment: csrc.nist.gov. Международная практика, не российский норматив.