Подготовка к пентесту: чек-лист перед началом работ

Статья «Как заказать пентест» разбирает весь процесс — от цели до приёмки отчёта. Здесь отдельно разобран один момент, который часто упускают: что сделать внутри компании в последние дни перед началом работ, чтобы тест не превратился в незапланированный инцидент.

Статья опирается на логику направления «Тесты на проникновение» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Что должно получиться

Уровень	Что это значит на практике
2. Гигиенический	Перед тестом компания проверяет резервные копии, предупреждает дежурных и готова остановить работы по сигналу

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Почему это важно

Тест на проникновение намеренно пытается вызвать нештатное поведение системы: переполнить очередь запросов, перезапустить службу, подобрать пароль до блокировки учётной записи. На хорошо защищённой системе это заканчивается ожидаемым отказом в доступе. На системе с не проверенными копиями или без дежурного на связи — реальным простоем, который потом сложно отличить от последствий настоящей атаки.

Чек-лист: за неделю до начала

Сверьте границы работ с подписанным заданием: список адресов, систем и методов (включая то, что запрещено — например, DoS-атаки или рассылки).
Проверьте свежесть резервных копий систем из периметра и попробуйте восстановление хотя бы одной из них на тестовом стенде.
Создайте отдельную учётную запись для исполнителя там, где нужен легитимный доступ (например, для внутреннего теста), с минимальными правами и сроком действия на период работ.
Предупредите дежурную смену и провайдеров: хостинг, CDN, антифрод-системы, за которыми может быть собственная автоматическая блокировка по IP исполнителя.
Договоритесь об окне работ для систем с ограниченной нагрузочной способностью: не в пиковые часы и не во время значимых для бизнеса событий.

Чек-лист: в день начала работ

Обменяйтесь контактами с исполнителем: кто на связи с обеих сторон всё время работ, включая нерабочие часы, если тест идёт непрерывно.
Договоритесь о стоп-слове — простом способе немедленно прекратить конкретное действие или все работы, если что-то пошло не так. Исполнитель обязан остановиться по этому сигналу без уточнений.
Включите повышенное наблюдение за системами из периметра: так проще отличить действия исполнителя от посторонней активности и быстрее заметить, если посторонняя активность всё же есть.
Зафиксируйте точку отсчёта: состояние систем, число учётных записей, размер очередей — чтобы потом было с чем сравнивать при разборе инцидентов, если они возникнут параллельно с тестом.

Что делать при сбое во время теста

Если во время работ произошёл сбой, не спешите считать его последствием теста или, наоборот, списывать на него совпадение. Порядок: остановить конкретное действие (стоп-слово), зафиксировать время и симптомы, уточнить у исполнителя, что он делал в этот момент, и только после этого решать про восстановление. Если сбой не связан с тестом, а совпал с ним по времени, компании полезно убедиться, что это не реальный инцидент, который тест случайно обнажил: первые 24 часа реагирования.

Доступ и данные исполнителя

Исполнитель во время работ получает доступ к данным компании, иногда к действительно чувствительным (пароли, персональные данные в базах, с которыми он столкнётся при эксплуатации найденной уязвимости). Пропишите в задании или отдельном соглашении: как он хранит и когда удаляет эти данные и черновики отчёта, как передаёт финальный отчёт (зашифрованным каналом, не почтой открытым текстом), кто, кроме него, увидит материалы. Если в периметре есть персональные данные, уточните, что в силу этого исполнитель временно становится лицом, обрабатывающим их, и это должно быть оформлено: самопроверка по ПДн.

После окончания работ

Отключите временные учётные записи и доступы, выданные исполнителю.
Снимите повышенное наблюдение или переведите системы в обычный режим мониторинга.
Сверьте зафиксированную точку отсчёта с текущим состоянием: ничего лишнего не осталось (тестовые учётные записи, файлы, правила файрвола, добавленные для удобства работ).
Запросите подтверждение удаления данных и черновиков у исполнителя по истечении оговорённого срока.

Диагностика

Симптом	Причина и что делать
Во время теста произошёл реальный простой	Остановите работы по стоп-слову, разбирайтесь по горячим следам, не задним числом
Непонятно, тест это или настоящая атака	Повышенное наблюдение и контакт с исполнителем на связи решают это за минуты, а не часы
После теста осталась тестовая учётная запись	Нет чек-листа после работ. Сверяйте текущее состояние с зафиксированной точкой отсчёта
Антифрод или CDN заблокировал исполнителя в начале работ	Провайдера не предупредили заранее. Договаривайтесь об исключении до начала теста, не во время него
Копия не восстановилась при проверке	Лучше узнать об этом до теста, чем во время реального сбоя. Чиньте процесс копирования, а не откладывайте проверку

Где это в модели зрелости

Материал относится к направлению «Тесты на проникновение» (материалы направления, карта зрелости). Уровень 2 требует, чтобы тесты проводились управляемо: подготовка, стоп-слово и наблюдение за системами в момент теста превращают пентест в контролируемую проверку, а не во внешний фактор риска самого по себе.

Как проверить

Резервные копии систем из периметра проверены восстановлением перед началом работ.
У обеих сторон есть контакты для связи на всё время теста и согласованное стоп-слово.
Провайдеры и дежурная смена предупреждены, временные доступы выданы с ограниченным сроком.
После работ временные доступы отключены, а состояние систем сверено с точкой отсчёта.
Данные, полученные исполнителем в ходе работ, удалены по истечении оговорённого срока.