Тестирование на проникновение

В отличие от анализа защищённости, тестирование на проникновение предполагает активную эксплуатацию обнаруженных уязвимостей. Специалисты не просто составляют список слабых мест — они проходят через них до конца: захватывают учётные записи, перемещаются по сети, добираются до критичных данных. Клиент видит не теоретический риск, а реальную цепочку атаки с доказательствами.

Пентест входит в перечень мер по контролю защищённости согласно Приказам ФСТЭК №239 и №117. Указ Президента РФ № 250 от 01.05.2022 обязывает стратегические предприятия проводить оценку уровня защищённости с привлечением лицензиатов ФСТЭК — пентест является одним из ключевых методов такой оценки. Результаты применяются при расчёте КЗИ (коэффициента защищённости информационной системы) по Приказу ФСТЭК №117 и при оценке соответствия ГОСТ Р 57580 для финансовых организаций.

КРЕДО-С проводит тестирование по трём методологиям:

Black Box — без предварительной информации об инфраструктуре. Специалисты ведут разведку из открытых источников (OSINT), сканируют внешний периметр, ищут и эксплуатируют уязвимости в публичных сервисах — точно так же, как действует внешний злоумышленник.

Gray Box — с частичной информацией: учётными записями пользователей и доступом к внутренней сети. Моделируется инсайдерская угроза или сценарий после первичной компрометации. Оценивается горизонтальное перемещение, повышение привилегий, доступ к критичным ресурсам. Наиболее приближён к реальным условиям взлома.

White Box — с полной информацией об архитектуре, исходными кодами и документацией. Обеспечивает максимальную глубину проверки: выявляет скрытые уязвимости и ошибки бизнес-логики, которые не видны снаружи.

Направления пентеста: внешний периметр (веб-серверы, почта, VPN-шлюзы), внутренний периметр (Active Directory, сетевая инфраструктура, критичные серверы), веб-приложения по OWASP Top 10 (SQL-инъекции, XSS, CSRF, небезопасные конфигурации), беспроводные сети (Wi-Fi, Bluetooth), мобильные приложения (iOS, Android, анализ API).

По итогам — детальный отчёт с доказательствами эксплуатации (скриншоты, логи, видеозаписи), оценкой критичности по CVSS и конкретными рекомендациями по устранению с приоритизацией. Отчёт разделён на две части: Executive Summary для руководства без технических деталей и технический раздел для ИТ-команды.

Почему сканер уязвимостей не заменяет пентест: автоматические сканеры находят известные CVE, но не могут проверить цепочку атаки, эксплуатировать уязвимости бизнес-логики, проверить сегментацию сети или получить реальный доступ к критичным данным. Пентест показывает не «что есть», а «что злоумышленник реально сможет сделать».

После устранения критичных уязвимостей КРЕДО-С проводит повторное тестирование (ретест) и подтверждает закрытие каждого вектора атаки. Итоговое письмо о результатах ретеста принимается при проверках ФСТЭК и аудитах по ГОСТ Р 57580.