Пентест: тестування на проникнення сайтів і вебзастосунків

Пентест — це контрольована спроба зламати ваш сайт, вебзастосунок або зовнішній периметр так, як це зробив би зловмисник, за письмовим дозволом і в погоджених рамках. На виході ви отримуєте звіт, де кожну знайдену вразливість підтверджено доказом і забезпечено планом виправлення.

Чим пентест відрізняється від аудиту і сканера

Автоматичний сканер перелічує те, що схоже на вразливість. Багато його знахідок хибні, а частину реальних проблем він не бачить зовсім.

Аудит безпеки перевіряє, як налаштовано системи, і сортує знахідки за терміновістю: виправити сьогодні, цього місяця, пізніше. Детальніше на сторінці аудиту кібербезпеки.

Пентест іде далі: ми пробуємо реально пройти через знайдену слабкість і показуємо, до чого це призводить. Тому у звіті лише підтверджені проблеми з доказами.

Що перевіряємо

• Автентифікацію і сесії: підбір і обхід входу, відновлення пароля, другий крок входу.
• Права доступу: чи може один користувач побачити або змінити чужі дані.
• Ін’єкції та обробку введення: SQL, команди, XSS, завантаження файлів.
• API та інтеграції: що віддається без авторизації, зайві дані у відповідях.
• Конфігурацію: відкриті панелі, службові файли, заголовки безпеки, TLS.
• Зовнішній периметр: які сервіси й порти видно з інтернету і що за ними стоїть.

Що ви отримуєте на руки

• Звіт із кожною знахідкою: де вона, наскільки небезпечна, як відтворити, доказ.
• План виправлення за пріоритетами і коротку версію простою мовою для керівника.
• Безкоштовну повторну перевірку виправленого в межах того самого scope.
• За бажанням виправляємо знайдене самі або разом із вашим підрядником.

Як проходить пентест

1. Рамки. Дзвінок або заявка: які системи тестуємо, які тестові облікові записи потрібні.
2. Письмовий дозвіл. Scope letter із цілями, датами, контактами й заборонами. Робота починається тільки після підпису.
3. Тестування. Працюємо в погодженому вікні, на зв’язку з вашою контактною особою.
4. Звіт. Технічний звіт і версія простою мовою.
5. Виправлення і повторна перевірка. Підтверджуємо, що вразливості закрито.

Терміни й вартість

Термін залежить від рамок: кількості застосунків, ролей користувачів і адрес в інтернеті. За нашим досвідом, пентест одного вебзастосунку зазвичай триває від одного до кількох тижнів.

Вартість: фіксований кошторис після погодження рамок.

Хто виконує роботи

Роботи з кібербезпеки виконує INNOVA CONSULT LTD., Corporation Number 1522612, Оттава, Онтаріо (Corporations Canada). Команда спирається на власний досвід і потужні інструменти, зокрема моделі Claude, щоб знаходити проблеми швидше. Кожну знахідку перевіряє людина до того, як вона потрапить у звіт. INNOVA CONSULT LTD пройшла верифікацію в програмі Anthropic Cyber Verification Program (CVP) і використовує моделі Claude для захисних завдань кібербезпеки.

Часті запитання про пентест

Чи законний пентест?

Так, за письмового дозволу власника системи. Ми працюємо лише за підписаним scope letter, де вказано цілі, строки, контакти й те, чого торкатися не можна.

Чи зламається сайт під час тесту?

Вікно тестування і цілі погоджуємо заздалегідь, ваша контактна особа на зв’язку весь час робіт. Навантажувальних атак і руйнівних дій ми не проводимо.

Скільки коштує пентест?

Фіксований кошторис після погодження рамок. Ціна залежить від кількості застосунків, ролей користувачів і адрес в інтернеті, що входять у тест.

Що входить у звіт?

Кожна знахідка з описом, рівнем небезпеки, кроками відтворення й доказом, план виправлення і коротка версія для керівника.

Чи виправляєте ви знайдене?

Так, самі або разом із вашим підрядником. Виправлене перевіряємо повторно безкоштовно в межах того самого scope.

Який пентест потрібен перед запуском продукту?

Зазвичай тест вебзастосунку та його API з кількома ролями користувачів. Склад визначаємо на першому дзвінку.

Суміжні послуги

• Аудит кібербезпеки сайту і сервера
• Сайт зламали: очищення й відновлення
• Підготовка до ISO/IEC 27001
• Технічна підтримка сайту

Опишіть, що потрібно протестувати. Ми погодимо рамки й надішлемо фіксований кошторис.