Внутренний и внешний пентест: зачем оба и что писать в задании
Разведите в задании два разных теста: с интернета без ваших учёток и из своей сети с одной обычной учёткой. Чистый внешний отчёт не доказывает, что контроллер домена и файловые шары в порядке. Общий порядок заказа: как заказать пентест. Веб-кабинет — отдельно: анализ веб-приложения. Приёмов атаки и обхода защиты ниже нет.
Статья опирается на логику направления «Тесты на проникновение» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Работы только на своих адресах или с письменного согласия владельца. Договор читает юрист.
Критерии различия
| Критерий | Внешний | Внутренний |
|---|---|---|
| Откуда смотрят | Интернет, ваши белые адреса | Офис, VPN или согласованный jump-хост |
| Учётки | Обычно нет; гость сайта — если сайт в скоупе | Одна обычная учётка сотрудника, не администратор домена |
| Вопрос теста | Что видно снаружи и чем это кончается | Что сможет человек или вредонос уже внутри сети |
| Типичный скоуп | Перечень публичных IP и имён | Перечень подсетей из инвентаризации |
| Чего не доказывает | Безопасность AD, шар, печати, Wi-Fi | Что периметр закрыт: внутренний тест периметр не заменяет |
Заказывайте оба, если есть и интернет-сервисы, и внутренняя Windows- или Linux-сеть. Один «пентест вообще» почти всегда оказывается только внешним: так дешевле исполнителю и бесполезнее вам.
Когда что выбирать
| Ситуация | Что заказать |
|---|---|
| Первый раз, гигиена слабая | Сначала скан и закрытие дыр, не пентест |
| Есть сайт и почта наружу | Внешний плюс веб, если есть кабинет |
| Есть домен, шары, VPN | Внутренний обязателен, даже если внешний «зелёный» |
| Сегменты гости / офис / серверы | Внутренний с явным списком VLAN, см. сегментацию |
Поля внешнего задания
- Список публичных адресов и имён, не «наш /24 целиком, разберётесь».
- Запрет работ по чужим облакам и чужому хостингу без письма владельца.
- Нет отказа в обслуживании, если не заказали отдельно и не согласовали окно.
- Контакт стопа и канал: подготовка.
Поля внутреннего задания
- Точка входа: VPN, гостевой порт, jump-хост. Исполнитель не подключается «как получится» к боевому Wi-Fi.
- Одна тестовая учётка с правами рядового сотрудника; пароль меняете после работ.
- Подсети in-scope и явно out-of-scope (телефония, АСУ ТП, чужие арендаторы).
- Запрет выводить из строя контроллер домена, почту, резерв; работы в согласованное окно.
- Куда складывать доказательства: ваш носитель, не личный ноутбук исполнителя с боем.
Не пишите в задании перечень техник и инструментов. Нужен результат: достигнут ли согласованный объект (например, доступ к файловому ресурсу отдела) и какими видимыми с вашей стороны событиями это сопровождалось. Разбор отчёта: план устранения.
Ограничения сравнения
Внутренний тест с учёткой администратора домена бессмыслен: вы купите подтверждение очевидного. Внешний тест «с учёткой клиента» уже ближе к анализу веб-приложения — не смешивайте в одном акте. Red Team и Bug Bounty — другие работы, их эта страница не закрывает.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| В акте «внутренний», а смотрели с VPS | Это внешний. Не подписывайте, уточните точку входа |
| Дали доменного админа «чтобы быстрее» | Переделайте на обычную учётку |
| Скоуп «вся 10.0.0.0/8» | Нет инвентаризации. Сначала список подсетей |
| Внешний чистый, шара открыта из офиса | Второго теста не было. Закажите внутренний |
Где это в модели зрелости
Материал относится к направлению «Тесты на проникновение» (хаб: тесты, карта: карта зрелости). Гигиена — независимый тест по заданию. Две точки зрения (снаружи и изнутри) как раз закрывают типичный пробел «проверили сайт и успокоились». CIS Control 18 и NIST SP 800-115 описывают планирование таких работ; это не закон РФ.
Как проверить
- Есть два задания или два явных раздела в одном договоре, не одна фраза «пентест сети».
- Во внешнем — перечень публичных имён; во внутреннем — подсети и обычная учётка.
- После работ пароль тестовой учётки сменён, доступ исполнителя снят.
- Находки внутреннего теста не дублируют только отчёт внешнего сканера.
Источники
- CIS Control 18, Penetration Testing. cisecurity.org/controls. Не закон РФ.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment. csrc.nist.gov. Не закон РФ.
