Пентест: тестирование на проникновение сайтов и веб-приложений

Пентест — это контролируемая попытка взломать ваш сайт, веб-приложение или внешний периметр так, как это сделал бы злоумышленник, по письменному разрешению и в согласованных рамках. На выходе вы получаете отчёт, где каждая найденная уязвимость подтверждена доказательством и снабжена планом исправления.

Чем пентест отличается от аудита и сканера

Автоматический сканер перечисляет то, что похоже на уязвимость. Многие его находки ложные, а часть реальных проблем он не видит вовсе.

Аудит безопасности проверяет, как настроены системы, и сортирует находки по срочности: исправить сегодня, в этом месяце, позже. Подробнее на странице аудита кибербезопасности.

Пентест идёт дальше: мы пробуем реально пройти через найденную слабость и показываем, к чему это приводит. Поэтому в отчёте только подтверждённые проблемы с доказательствами.

Что проверяем

• Аутентификацию и сессии: подбор и обход входа, восстановление пароля, вторую ступень входа.
• Права доступа: может ли один пользователь увидеть или изменить чужие данные.
• Инъекции и обработку ввода: SQL, команды, XSS, загрузку файлов.
• API и интеграции: что отдаётся без авторизации, лишние данные в ответах.
• Конфигурацию: открытые панели, служебные файлы, заголовки безопасности, TLS.
• Внешний периметр: какие сервисы и порты видны из интернета и что за ними стоит.

Что вы получаете на руки

• Отчёт с каждой находкой: где она, насколько опасна, как воспроизвести, доказательство.
• План исправления по приоритетам и короткую версию простым языком для руководителя.
• Бесплатную повторную проверку исправленного в рамках того же scope.
• По желанию исправляем найденное сами или вместе с вашим подрядчиком.

Как проходит пентест

1. Рамки. Созвон или заявка: какие системы тестируем, какие тестовые учётные записи нужны.
2. Письменное разрешение. Scope letter с целями, датами, контактами и запретами. Без подписи не начинаем.
3. Тестирование. Работаем в согласованном окне, на связи с вашим контактным лицом.
4. Отчёт. Технический отчёт и версия простым языком.
5. Исправление и повторная проверка. Подтверждаем, что уязвимости закрыты.

Сроки и стоимость

Срок зависит от рамок: числа приложений, ролей пользователей и адресов в интернете. По нашему опыту, пентест одного веб-приложения обычно занимает от одной до нескольких недель.

Стоимость: фиксированная смета после согласования рамок.

Кто выполняет работы

Работы по кибербезопасности выполняет INNOVA CONSULT LTD., Corporation Number 1522612, Оттава, Онтарио (Corporations Canada). Команда опирается на собственный опыт и сильные инструменты, в том числе модели Claude, чтобы находить проблемы быстрее. Каждую находку проверяет человек до того, как она попадёт в отчёт. INNOVA CONSULT LTD прошла верификацию в программе Anthropic Cyber Verification Program (CVP) и использует модели Claude для защитных задач кибербезопасности.

Частые вопросы о пентесте

Законен ли пентест?

Да, при письменном разрешении владельца системы. Мы работаем только по подписанному scope letter, где указаны цели, сроки, контакты и то, что трогать нельзя.

Сломается ли сайт во время теста?

Окно тестирования и цели согласуем заранее, ваше контактное лицо на связи всё время работ. Нагрузочных атак и разрушительных действий мы не проводим.

Сколько стоит пентест?

Фиксированная смета после согласования рамок. Цена зависит от числа приложений, ролей пользователей и адресов в интернете, которые входят в тест.

Что входит в отчёт?

Каждая находка с описанием, уровнем опасности, шагами воспроизведения и доказательством, план исправления и короткая версия для руководителя.

Исправляете ли вы найденное?

Да, сами или вместе с вашим подрядчиком. Исправленное перепроверяем бесплатно в рамках того же scope.

Какой пентест нужен перед запуском продукта?

Обычно тест веб-приложения и его API с несколькими ролями пользователей. Состав определяем на первом созвоне.

Связанные услуги

• Аудит кибербезопасности сайта и сервера
• Сайт взломали: очистка и восстановление
• Подготовка к ISO/IEC 27001
• Онлайн-поддержка сайта

Опишите, что нужно протестировать. Мы согласуем рамки и пришлём фиксированную смету.