Тестирование на проникновение - одна из немногих практик в кибербезопасности, где результат прямо зависит от точности сформулированного запроса. Материал о том, что такое пентест и почему ожидания заказчика расходятся с реальным объёмом работ, помогает разобраться в сути метода заранее.

Суть метода и его отличие от аудита

Пентест - это контролируемая атака на инфраструктуру компании, которую проводят специалисты с разрешения владельца системы. Цель - найти уязвимости раньше реального злоумышленника. В отличие от аудита, пентестер не составляет список теоретических рисков: он пытается их эксплуатировать и фиксирует, что именно удалось взломать. Разрыв между «уязвимость обнаружена» и «уязвимость эксплуатирована» нередко оказывается принципиальным - первое говорит о потенциальной угрозе, второе доказывает реальный ущерб.

• Белый ящик - тестировщик получает полную документацию и доступы, работает как внутренний аудитор
• Чёрный ящик - никакой информации об инфраструктуре нет, имитируется внешний злоумышленник
• Серый ящик - частичные данные, наиболее распространённый формат на практике

Почему заказчик получает не то, что ждёт

Разрыв между ожиданиями и результатом чаще всего возникает на этапе формулировки ТЗ. Компания хочет «проверить всё», но специалисты тестируют только явно указанный периметр. Если корпоративный VPN не упомянут - он не проверяется, даже если именно через него реальный атакующий прошёл бы. Ещё одна причина несоответствий - смешение понятий: руководители нередко просят «пентест», имея в виду сканирование или полноценную red team операцию.

• Сканирование уязвимостей - автоматизированный процесс, занимает дни, даёт поверхностный результат без подтверждения эксплуатации
• Классический пентест - ручная работа специалиста, занимает недели, выдаёт подтверждённые векторы атаки
• Red team - многонедельная имитация целевой атаки с обходом защиты и социальной инженерией

Заключение

Пентест остаётся одним из самых практичных инструментов оценки реальной защищённости - при условии, что область тестирования чётко согласована заранее. Перед заказом стоит убедиться, что все стороны понимают под этим термином одно и то же.