Пентест четырёх типов для компании онлайн-ритейла: периметр, веб, сеть, Wi-Fi

Компания занимается розничной дистанционной торговлей, доставляя товары тысячам покупателей из разных регионов. Выручка компании ежегодно растёт, число покупателей превышает десятки тысяч. В штате около 100 квалифицированных специалистов, многие работают удалённо.

Большой объём клиентских данных вынуждает особенно внимательно относиться к защите информации — любая утечка персональных данных может стоить очень дорого, а восстановить репутацию будет невероятно сложно. Хакеры и конкуренты охотятся за чужими данными, а за утечку регулятор штрафует бизнес. Для компании важно было наметить стратегию информационной защиты с учётом уже существующих рисков и уязвимостей.

Единый периметр давно стал мифом: ритейловая компания атакуется сразу через несколько векторов — публичный сайт, офисную сеть, Wi-Fi и подрядчиков. Пентест одного типа оставляет слепые зоны. Комплексный подход из четырёх типов тестирования закрывает все основные поверхности атаки.

Пентест внешнего периметра проверяет, что видит злоумышленник снаружи: открытые порты, уязвимые сервисы, утечки учётных данных во внешних источниках. Пентест веб-приложений тестирует сайт и API по методологии OWASP Testing Guide — SQL-инъекции, XSS, небезопасные конфигурации, IDOR (возможность доступа к чужим данным).

Пентест внутренней сети моделирует сценарий скомпрометированного сотрудника: насколько далеко злоумышленник способен продвинуться внутри сети. Пентест беспроводных сетей проверяет защищённость Wi-Fi-точек — перехват трафика, атаки на WPA2/WPA3, несанкционированные точки доступа.

Повторное тестирование (retest) после устранения уязвимостей — обязательный финальный шаг. Он подтверждает, что критичные находки действительно закрыты, а не только задокументированы. Финальный отчёт становится фундаментом для стратегии защиты.

Решением стал комплексный анализ защищённости с тестированием на проникновение (пентестом) — имитацией хакерской атаки в целях выявления потенциальных уязвимостей. До старта проекта компания сформировала шорт-лист из 10 подрядчиков, остановившись на «КРЕДО-С». Эксперты провели пентест четырёх видов: тестирование внешнего периметра; тестирование и анализ уязвимостей веб-приложений; тестирование внутренней сети; тестирование беспроводной сети.

По итогам сформирован отчёт с уязвимостями и рекомендациями. Совместно с «КРЕДО-С» были устранены слабые места, усилены меры защиты цифровых активов. На финальном этапе проведено повторное тестирование — подтверждено закрытие критичных уязвимостей.