Пентест: тестування на проникнення сайтів і вебзастосунків

Пентест — це контрольована спроба зламати ваш сайт, вебзастосунок або зовнішній периметр так, як це зробив би зловмисник, за письмовим дозволом і в погоджених рамках. На виході ви отримуєте звіт, де кожну знайдену вразливість підтверджено доказом і забезпечено планом виправлення.

Чим пентест відрізняється від аудиту і сканера

Автоматичний сканер перелічує те, що схоже на вразливість. Багато його знахідок хибні, а частину реальних проблем він не бачить зовсім.

Аудит безпеки перевіряє, як налаштовано системи, і сортує знахідки за терміновістю: виправити сьогодні, цього місяця, пізніше. Детальніше на сторінці аудиту кібербезпеки.

Пентест іде далі: ми пробуємо реально пройти через знайдену слабкість і показуємо, до чого це призводить. Тому у звіті лише підтверджені проблеми з доказами.

Що перевіряємо

• Автентифікацію і сесії: підбір і обхід входу, відновлення пароля, другий крок входу.
• Права доступу: чи може один користувач побачити або змінити чужі дані.
• Ін’єкції та обробку введення: SQL, команди, XSS, завантаження файлів.
• API та інтеграції: що віддається без авторизації, зайві дані у відповідях.
• Конфігурацію: відкриті панелі, службові файли, заголовки безпеки, TLS.
• Зовнішній периметр: які сервіси й порти видно з інтернету і що за ними стоїть.

Що ви отримуєте на руки

• Звіт із кожною знахідкою: де вона, наскільки небезпечна, як відтворити, доказ.
• План виправлення за пріоритетами і коротку версію простою мовою для керівника.
• Безкоштовну повторну перевірку виправленого в межах того самого scope.
• За бажанням виправляємо знайдене самі або разом із вашим підрядником.

Як проходить пентест

1. Рамки. Дзвінок або заявка: які системи тестуємо, які тестові облікові записи потрібні.
2. Письмовий дозвіл. Scope letter із цілями, датами, контактами й заборонами. Робота починається тільки після підпису.
3. Тестування. Працюємо в погодженому вікні, на зв’язку з вашою контактною особою.
4. Звіт. Технічний звіт і версія простою мовою.
5. Виправлення і повторна перевірка. Підтверджуємо, що вразливості закрито.

Терміни й вартість

Термін залежить від рамок: кількості застосунків, ролей користувачів і адрес в інтернеті. За нашим досвідом, пентест одного вебзастосунку зазвичай триває від одного до кількох тижнів.

Вартість: фіксований кошторис після погодження рамок.

Хто виконує роботи

Роботи з кібербезпеки виконує INNOVA CONSULT LTD., Corporation Number 1522612, Оттава, Онтаріо (Corporations Canada). Команда спирається на власний досвід і потужні інструменти, зокрема моделі Claude, щоб знаходити проблеми швидше. Кожну знахідку перевіряє людина до того, як вона потрапить у звіт.

Часті запитання про пентест

Чи законний пентест?

Так, за письмового дозволу власника системи. Ми працюємо лише за підписаним scope letter, де вказано цілі, строки, контакти й те, чого торкатися не можна.

Чи зламається сайт під час тесту?

Вікно тестування і цілі погоджуємо заздалегідь, ваша контактна особа на зв’язку весь час робіт. Навантажувальних атак і руйнівних дій ми не проводимо.

Скільки коштує пентест?

Фіксований кошторис після погодження рамок. Ціна залежить від кількості застосунків, ролей користувачів і адрес в інтернеті, що входять у тест.

Що входить у звіт?

Кожна знахідка з описом, рівнем небезпеки, кроками відтворення й доказом, план виправлення і коротка версія для керівника.

Чи виправляєте ви знайдене?

Так, самі або разом із вашим підрядником. Виправлене перевіряємо повторно безкоштовно в межах того самого scope.

Який пентест потрібен перед запуском продукту?

Зазвичай тест вебзастосунку та його API з кількома ролями користувачів. Склад визначаємо на першому дзвінку.

Суміжні послуги

• Аудит кібербезпеки сайту і сервера
• Сайт зламали: очищення й відновлення
• Підготовка до ISO/IEC 27001
• Технічна підтримка сайту

Опишіть, що потрібно протестувати. Ми погодимо рамки й надішлемо фіксований кошторис.