Як обрати компанію для пентесту: 10 запитань до виконавця

Добрий виконавець пентесту ще до ціни пояснює, що саме перевірить, як не зламає робочу систему і який звіт ви отримаєте. Якщо на ці три запитання немає чітких відповідей письмово, порівнювати ціни немає сенсу: ви порівнюєте різні роботи.

Нижче 10 запитань, які варто поставити будь-якій компанії, таблиця тривожних знаків і що має бути в договорі та звіті. Про те, з чого складається ціна, окремо розповідаю в статті що входить у пентест і скільки він коштує.

Коротко

• Обирайте не за ціною, а за тим, наскільки чітко виконавець описує межі перевірки, правила безпечного тестування, звіт і повторну перевірку.
• Попросіть зразок звіту без назв клієнтів. З нього за 10 хвилин видно, чи працювали руками, чи лише запустили сканер.
• Тривожні знаки: «перевіримо все», ціна без розмови про ваші системи, гарантія «нуль вразливостей», ретест «потім домовимось».
• До старту мають бути підписані NDA і письмовий дозвіл із переліком систем, дат і контактів на випадок збою.

10 запитань до виконавця

Ці запитання можна переслати компаніям як є. Добрі виконавці відповідають на них спокійно і письмово.

• Що саме ви перевірите? Назвіть системи, ролі користувачів і що залишається поза перевіркою.
• Скільки часу фахівець працює руками, а скільки працюють автоматичні сканери?
• Хто конкретно буде тестувати і який у нього досвід саме з такими системами, як наші?
• Як ви не зламаєте робочу систему? Які дії заборонені і в які години тестуєте?
• Що ви робите, якщо знайшли критичну проблему посеред перевірки: чекаєте звіту чи повідомляєте одразу?
• Можна подивитися зразок звіту без назв клієнтів?
• Чи пояснює звіт, чим кожна знахідка загрожує бізнесу, а не лише технічні деталі?
• Чи входить повторна перевірка після виправлень у ціну і в які строки?
• Як ви зберігаєте наші дані й доступи під час роботи і що з ними буде після?
• Чи підписуємо NDA і письмовий дозвіл до будь-яких активних дій?

Завантажити чекліст підготовки (PDF)PDF · A4

Як відрізнити добру пропозицію від слабкої

Пентест і автоматичне сканування часто продають під одним словом. Різниця в тому, хто думає: сканер шукає відомі ознаки, а людина перевіряє, чи можна реально дістатися чужих даних, обійти права доступу або поєднати кілька дрібних проблем в одну серйозну. NIST і PCI SSC окремо розрізняють ці види робіт. ^{[3] [4]}

Що має бути в договорі

Договір захищає обидві сторони: вас від шкоди, виконавця від звинувачення в незаконному доступі. Мінімум, який я раджу перевірити перед підписом:

• NDA до передачі будь-яких даних і доступів.
• Письмовий дозвіл на активні дії: які системи, з яких адрес, у які дати, хто з вашого боку на зв'язку.
• Межі й винятки. Сторонні сервіси (хостинг, платіжний провайдер, хмара) часто потребують окремого дозволу власника.
• Правила для робочої системи: що заборонено, в які години, як зупинити тест.
• Склад звіту і строки, включно з повторною перевіркою.

Дія.Бізнес описує ті самі етапи: планування, аналіз, імітацію атак, звіт і повторну перевірку. ^[1]

Як читати зразок звіту

Добрий звіт читають і власник, і розробник. OWASP радить окремо писати короткий висновок для керівництва і технічні деталі для команди. ^[2] У зразку шукайте:

1. Короткий висновок простими словами: що знайшли, чим це загрожує, що виправити першим.
2. Кожну знахідку з кроками відтворення: розробник має повторити її сам.
3. Оцінку ризику з поясненням, а не лише «Critical» чи «High».
4. Конкретні рекомендації: що змінити, а не «підвищити рівень безпеки».
5. Що не перевіряли. Чесний звіт називає межі, щоб ви не вважали непротестоване безпечним.

Якщо у зразку сотні сторінок однакових записів зі сканера і жодного пояснення, що це означає для бізнесу, ви отримаєте те саме.

Коли пентест ще не потрібен

Пентест має сенс, коли є що перевіряти глибоко: власний сайт із кабінетом, API, клієнтські дані, платежі. Якщо компанія працює переважно в хмарних сервісах на кшталт Microsoft 365 чи Google Workspace, часто корисніше почати з перевірки акаунтів і доступів (Security Assessment). Якщо треба спершу зрозуміти, що видно з інтернету, підійде зовнішній огляд. Добрий виконавець сам скаже, якщо пентест вам зараз не потрібен.

FAQ

Скільки компаній варто порівняти?

Двох-трьох достатньо. Надішліть усім ті самі 10 запитань і той самий опис систем: тоді відповіді можна порівняти чесно.

Чи можна довіряти сертифікатам виконавця?

Сертифікати на кшталт OSCP, GPEN чи GWAPT показують, що людина пройшла серйозне навчання. Але важливіше, хто саме тестуватиме ваш проєкт і чи є в нього досвід із такими системами. Запитайте про конкретну людину.

Чи нормально, що виконавець не називає своїх клієнтів?

Так. Більшість робіт іде під NDA. Натомість можна попросити знеособлений зразок звіту або опис схожого проєкту без назв.

Чи може пентест зламати робочий сайт?

Ризик є, якщо немає правил. Тому до старту погоджують, що заборонено, в які години тестують і кого кликати, якщо щось пішло не так. Частину перевірок можна робити на тестовому середовищі.

Як часто робити пентест?

Зазвичай раз на рік і після великих змін: нового продукту, інтеграції, переїзду в хмару. Між пентестами допомагає регулярна перевірка відомих вразливостей.

Посилання

1. Дія.Бізнес: Що таке тестування на проникнення? business.diia.gov.ua
2. OWASP Web Security Testing Guide: Reporting Structure wstg.owasp.org
3. NIST SP 800-115: Technical Guide to Information Security Testing and Assessment csrc.nist.gov
4. PCI SSC: Penetration Testing Guidance v1.1 (2017) pcisecuritystandards.org