Що таке пентест простими словами?

Пентест означає перевірку безпеки, під час якої фахівець за письмовим дозволом компанії пробує зламати її сайт, застосунок, мережу чи хмару тими самими методами, що й зловмисники, щоб знайти слабкі місця раніше за них. Результатом є звіт: що вдалося зробити, чим це загрожує бізнесу і що виправити першим.

Повна назва звучить як «тестування на проникнення» (penetration testing). NIST, американський інститут стандартів, описує його як імітацію реальних атак, щоб знайти способи обійти захист застосунку, системи чи мережі. ^[1] Британський NCSC порівнює пентест із фінансовим аудитом: зовнішня перевірка показує, чи справді працюють ваші внутрішні процеси безпеки. ^[3] Як це виглядає на практиці, описано на сторінці пентест.

Коротко

• Пентест робить людина, а не лише програма: вона шукає, що реально можна зробити зі слабкими місцями.
• Його замовляють перед запуском продукту, після великих змін, на вимогу партнера чи клієнта і регулярно, зазвичай раз на рік.
• Етапи: домовленість і межі перевірки, письмовий дозвіл, тестування, звіт, виправлення і повторна перевірка.
• Без письмового дозволу власника системи та сама робота стає незаконним доступом.

Навіщо компаніям пентест

Компанія зазвичай не знає, як її системи виглядають очима зловмисника. Розробники перевіряють, що функції працюють, а пентестер перевіряє, що вони не працюють не так, як треба: чи не бачить один клієнт дані іншого, чи не можна увійти без пароля, чи не відкритий зайвий сервіс в інтернеті.

Типові причини замовити пентест:

• запуск або велике оновлення продукту з клієнтськими даними чи платежами;
• вимога партнера, банку, великого клієнта або регулятора;
• перевірка після інциденту, щоб зрозуміти, де ще є дірки;
• бажання знати, на що витрачати бюджет безпеки в першу чергу.

Якщо хоча б одна причина про вас, пентест варто запланувати заздалегідь: підготовка доступів і дозволу теж займає час.

Чим пентест відрізняється від сканування і Red Team

Сканування автоматично шукає відомі проблеми, а пентест перевіряє, чи можна ними скористатися. Детально в статті пентест чи сканування вразливостей.

Red Team означає групу, яка імітує цілеспрямовану атаку на всю компанію, щоб перевірити захист і реакцію, а не знайти якомога більше вразливостей. ^[4] Порівняння є в статті Red Team чи пентест.

Як проходить пентест: етапи

NCSC описує типовий пентест так: домовленість, визначення меж, тестування, звіт і подальші дії. ^[3] NIST у посібнику SP 800-115 ділить саме тестування на планування, пошук інформації, атаку і звіт. ^[2] Простими словами:

1. Домовленість і межі. Ви разом вирішуєте, що перевіряють: які сайти, застосунки, адреси, ролі користувачів і що лишається поза тестом.
2. Письмовий дозвіл і правила. Дати, години, заборонені дії, контакти на випадок збою.
3. Розвідка. Пентестер збирає інформацію: що видно з інтернету, які технології, як влаштовано вхід.
4. Атака. Він пробує використати знайдені слабкі місця і поєднати кілька дрібних проблем в одну серйозну. Критичне повідомляє одразу.
5. Звіт. Знахідки, їхній вплив на бізнес і порядок виправлень.
6. Повторна перевірка (ретест). Після виправлень пентестер підтверджує, що проблеми закрито, якщо це погоджено в договорі.

Чорна, сіра і біла скринька

Ці назви описують, скільки пентестер знає про систему на старті.

• Чорна скринька (black box). Пентестер не знає нічого, як сторонній зловмисник. Це реалістично, але частина проблем може лишитися незнайденою за відведений час. ^[3]
• Сіра скринька (grey box). Пентестер має звичайні акаунти користувачів і загальний опис системи. Так перевіряють, що може зробити клієнт чи партнер, і цей варіант часто дає найкраще співвідношення глибини і часу.
• Біла скринька (white box). Пентестер має документацію, а іноді й код. Перевірка найглибша, бо не треба витрачати час на здогадки. ^[3]

Що дає звіт

Добрий звіт працює і для керівника, і для розробника:

• короткий висновок простою мовою: що знайдено і що виправити першим;
• кожна знахідка з кроками відтворення, щоб розробник міг її повторити;
• оцінка ризику з поясненням, а не лише слово «критично»;
• конкретні рекомендації, що саме змінити;
• перелік того, що не перевіряли, щоб не вважати це безпечним.

NCSC нагадує, що пентест показує стан системи лише на день перевірки. ^[3] Тому звіт корисний, коли за кожною знахідкою закріплено відповідального і строк.

Скільки триває і як часто

Строк залежить від обсягу: кількості систем, ролей і функцій. Для невеликого вебзастосунку це зазвичай від тижня, для кількох систем довше. Точний строк фіксують до старту, після розмови про ваші системи. З чого складається обсяг і ціна, розказано в статті що входить у пентест і скільки він коштує.

Як часто: зазвичай раз на рік і після великих змін, як-от новий продукт, інтеграція чи переїзд у хмару. Між пентестами допомагає регулярне сканування.

Юридичний бік: письмовий дозвіл

Пентест законний лише тоді, коли власник системи дав письмовий дозвіл. Без нього ті самі дії є незаконним втручанням у роботу комп'ютерних систем, і в Україні за це передбачена кримінальна відповідальність. NIST радить до старту погодити правила проведення тесту і юридичні питання. ^[2]

У дозволі зазвичай вказують:

• які системи і з яких адрес можна перевіряти;
• дати й години активних дій;
• що заборонено, наприклад перевантаження сервісу чи видалення даних;
• хто з вашого боку на зв'язку і як зупинити тест.

Сторонні сервіси (хостинг, хмара, платіжний провайдер) належать іншим компаніям і мають власні правила. Підписує дозвіл людина, яка справді має право вирішувати за компанію. Як обрати виконавця, який усе це пояснить заздалегідь, розказано в статті як обрати компанію для пентесту.

Чекліст: чи готові ви до пентесту

• Ми знаємо, навіщо нам пентест: запуск, вимога партнера, регулярна перевірка.
• Є перелік систем, які треба перевірити, і того, що поза межами.
• Обрано формат: чорна, сіра чи біла скринька.
• Для перевірки прав доступу підготовлено тестові акаунти.
• Письмовий дозвіл підпише людина з правом вирішувати.
• Узгоджено, хто з нашого боку на зв'язку під час тесту.
• Є відповідальний за звіт і виправлення.
• Ретест прописано в договорі.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Що таке пентест простими словами?

Це перевірка, під час якої фахівець за вашим письмовим дозволом пробує зламати ваш сайт, застосунок чи мережу як зловмисник. Мета полягає в тому, щоб знайти слабкі місця раніше за справжніх зловмисників і отримати звіт із порядком виправлень.

Чим пентест відрізняється від сканування вразливостей?

Сканування автоматично шукає відомі проблеми в багатьох системах. Пентест робить людина, яка перевіряє, чи можна цими проблемами реально скористатися і дістатися чужих даних, грошей чи доступів.

Чи безпечний пентест для робочої системи?

Ризик є, якщо немає правил. Тому до старту погоджують заборонені дії, години тестування і контакт на випадок збою. Частину перевірок можна робити на тестовій копії системи.

Скільки триває пентест?

Залежить від обсягу. Для невеликого вебзастосунку зазвичай від тижня, для кількох систем довше. Точний строк фіксують до початку роботи.

Чи законний пентест?

Так, якщо власник системи дав письмовий дозвіл із межами і правилами. Без такого дозволу ті самі дії є незаконним доступом.

Посилання

1. NIST Computer Security Resource Center Glossary: penetration testing csrc.nist.gov
2. NIST SP 800-115: Technical Guide to Information Security Testing and Assessment csrc.nist.gov
3. NCSC: Penetration testing ncsc.gov.uk
4. NIST Computer Security Resource Center Glossary: red team csrc.nist.gov