Тестирование на проникновение

Ответы на часто задаваемые вопросы (FAQ)

• Чем пентест отличается от сканирования уязвимостей?

  Сканирование — это автоматизированный поиск известных уязвимостей по сигнатурам. Пентест — ручная работа экспертов, которые анализируют бизнес-логику, цепочки уязвимостей и контекст вашей среды.

  Сканирование отвечает на вопрос: «Что теоретически может быть уязвимо?», пентест — «Что реально можно взломать и как?».

• Как часто нужно проводить анализ защищенности?

  Рекомендуем делать это не реже одного раза в год, а также после значительных изменений в ИТ-инфраструктуре или обновлений приложений. В некоторых отраслях регуляторы устанавливают отдельные требования. Например, банки и некредитные финансовые учреждения обязаны проводить пентест не реже двух раз в год.

• Нужен ли пентест, если мы уже проводили аудит информационной безопасности?

  Да. Аудит информационной безопасности обычно включает проверку соответствия стандартам и политикам, анализ документации и конфигураций. Тестирование же направлено на практическое выявление слабых мест. Это помогает проверить, насколько эффективно работают средства защиты, и выявить уязвимости, которые могли быть упущены при аудите.

• Каким компаниям нужен пентест?

  По закону тестирование обязаны проводить значимые объекты КИИ и организации из финансовой сферы, а также все компании, которые работают с персональными данными и конфиденциальной информацией. Если вы не попадаете под эти требования, это не означает, что вы в безопасности. Анализ устойчивости систем необходим разработчикам, провайдерам, ритейлерам, строительным и промышленным компаниям и т.д. Мы подскажем, с какими угрозами сталкивается ваша отрасль и какие методы проверки подойдут вашей ИТ-инфраструктуре.

• Сколько времени занимает пентест?

  Зависит от количества и сложности ресурсов, входящих в границы тестирования. Пентест несложного веб-приложения может длиться 5–7 рабочих дней, а тестирование в режиме Red Team продолжается от 6 недель и более. Важно: мы не торопимся в ущерб качеству, но и не затягиваем без необходимости.

• Сколько стоит пентест?

  Цена формируется индивидуально и зависит от:

  • Объема инфраструктуры (количество хостов, приложений, API).
  • Выбранного типа тестирования.
  • Срочности и необходимости повторных тестов.
  • Отраслевых требований (ЦБ РФ, указа № 250 и др.).

  Мы начинаем с заполнения опросного листа, после чего даем прозрачную оценку.

• Будет ли пентест влиять на работу используемых систем?

  Наша методология приоритизирует безопасность: мы избегаем деструктивных тестов в продуктовой среде без согласования. Все действия логируются, критические сценарии сначала согласовываются с клиентом, при необходимости мы проводим тесты в окна технической поддержки.

• Как выглядит результат пентеста?

  По результатам пентеста мы готовим два отчета:

  • Отчет для руководства: риски в бизнес-терминах, приоритеты.
  • Технический отчет для ИБ-команды: скриншоты находок, CVSS-оценки, рекомендации по устранению.

• Как вы гарантируете конфиденциальность?

  • Подписываем соглашение о неразглашении (NDA) до начала работ.
  • При передаче отчетов принимаются все необходимые меры обеспечения конфиденциальности.
  • По завершении проекта по вашему запросу безопасно уничтожаем временные данные.

• А если вы что-то пропустите?

  Честный ответ: 100% гарантии не может дать никто. Но мы минимизируем риски за счет:

  • комбинации автоматизированных и ручных методик (PTES, OWASP, NIST);
  • постоянного обучения и участия в CTF (соревнования по практической кибербезопасности) и Bug Bounty (программы поощрения поиска уязвимостей в ПО).

• Есть ли у вас лицензии и сертификаты на проведение пентестов?

  Да, наши специалисты имеют профильные сертификации: OSCP, OSWE, CEH, CRTO, а компания имеет лицензии ФСТЭК, ФСБ и соответствует требованиям ISO 27001. Готовы предоставить документы по запросу.

• Как можно протестировать на проникновение искусственный интеллект?

  Тестирование на проникновение ИИ-систем — это специализированная оценка безопасности приложений на основе больших языковых моделей (LLM), определяющая устойчивость системы к атакам внешнего нарушителя. Работы фокусируются на специфичных для ИИ уязвимостях согласно методологии OWASP Top 10 for LLM, а также на классических веб-рисках в точках взаимодействия с приложением.