Пентест, или тестирование на проникновение, — это контролируемая атака на инфраструктуру компании, которую по договору проводит команда специалистов по безопасности. Они действуют методами злоумышленников, но результатом становится отчёт с найденными путями внутрь, а не ущерб. Пентест отвечает на вопрос «можно ли нас взломать на практике», а не «правильно ли всё описано в регламентах».
Коротко
Это три разные работы, которые часто путают. Аудит разбирает, как выстроена защита; сканер ищет известные уязвимости по базе; пентест проверяет, получится ли ими воспользоваться и куда после этого удастся дойти.
| Работа | На какой вопрос отвечает | Как проверяют | Что на выходе |
|---|---|---|---|
| Аудит информационной безопасности | Правильно ли выстроена защита | Разбор настроек, доступов, процессов и документов | Список рисков с приоритетами и план работ |
| Сканирование уязвимостей | Есть ли известные уязвимости | Автоматическая проверка по базе, регулярно и без участия человека | Перечень уязвимостей с оценкой критичности |
| Пентест | Можно ли этим воспользоваться и как далеко пройти | Ручная работа специалиста, эксплуатация найденного | Сценарии атак: через какой вход зашли и до каких данных дошли |
| Red Team | Заметит ли нас служба безопасности | Скрытая длительная операция, о которой не предупреждают ИТ-службу | Оценка того, как работают обнаружение и реагирование |
Работы не заменяют друг друга: аудит может показать образцовые политики, а пентест — забытый тестовый сервер с паролем по умолчанию. Что входит в проверку инфраструктуры и когда её заказывают, мы разобрали в статье об аудите IT-инфраструктуры.
Вид проверки выбирают по тому, какой сценарий для компании реален. Заказывать всё сразу незачем: каждый вид требует своего времени и своих специалистов.
| Вид | Что моделирует | Что проверяют | Когда нужен |
|---|---|---|---|
| Внешний | Атаку из интернета без доступа внутрь | Сайты, почту, VPN, панели управления — всё, что открыто наружу | Базовый вариант: так компанию видит любой злоумышленник |
| Внутренний | Нарушителя, который уже внутри: сотрудника или заражённую рабочую станцию | Сегментацию сети, права учётных записей, доступ к файловым хранилищам и базам | Когда в сети много рабочих мест и общих ресурсов |
| Веб-приложение | Атаку на сайт, личный кабинет или API | Права доступа, обработку ввода, загрузку файлов, логику заказов и оплат | Перед запуском продукта и после крупных обновлений |
| Социальная инженерия | Письма и звонки от имени коллег, банка или подрядчика | Реакцию сотрудников: перейдут ли по ссылке, введут ли пароль, переведут ли деньги | Когда главный риск — человек, а не техника |
В пентесте веб-приложений опираются на типовые уязвимости из списка OWASP Top 10:2025: в этой редакции на первом месте нарушение контроля доступа, а на третьем — новая категория «сбои в цепочке поставок программного обеспечения». Проверка сотрудников фишингом имеет смысл только вместе с обучением — как его строить, мы описали в статье об обучении сотрудников кибербезопасности.
Модель определяет, сколько информации команда получает до старта, и от неё зависит, что удастся проверить за отведённое время.
Если нужно увидеть компанию глазами случайного злоумышленника, берут black box. Если задача — найти максимум проблем до того, как их найдут другие, выбирают white box: это обычный вариант перед запуском нового продукта.
Порядок работ описан в открытых методиках — например, в руководстве NIST SP 800-115 по техническому тестированию защищённости — и у большинства команд выглядит одинаково.
Отчёт — главный результат работы и единственное, что остаётся у компании после проверки. По нему видно, насколько тщательно она велась.
Последний пункт отличает добросовестный отчёт. Честное «сюда не пустил межсетевой экран, эту систему вывели из границ работ» полезнее для вас, чем гладкий вывод «критичных уязвимостей не обнаружено».
Проверка без письменного разрешения владельца систем — это не пентест, а преступление. В Уголовном кодексе есть отдельная глава о преступлениях в сфере информационных технологий, и в ней — статья 278-2 «Несанкционированный доступ к компьютерной информации».
Важно Разрешение подписывает тот, кто владеет системами. Если сайт или серверы арендованы, отдельно нужно согласие провайдера: для него сканирование и нагрузочные проверки выглядят как атака и могут закончиться блокировкой.
Государственным органам выбирать подрядчика свободно нельзя. Указ УП-38 от 10 марта 2026 года, которым утверждена Стратегия кибербезопасности на 2026–2030 годы, разрешает органам без собственного подразделения кибербезопасности пользоваться услугами только тех организаций, которые включены в специальный реестр. Реестр ведёт Служба государственной безопасности.
Отдельный вопрос — данные. Если в системе лежат персональные данные клиентов, заранее договоритесь, работает команда на копии базы с обезличенными записями или на боевой системе, и зафиксируйте это в договоре вместе с обязательством уничтожить все выгрузки после проверки.
Подготовка сильно влияет на результат: без неё часть оплаченного времени уйдёт на выяснение, чей это сервер и можно ли его трогать.
Рынок проверок устроен неравномерно: словом «пентест» называют и месяц ручной работы, и один запуск сканера с автоматическим отчётом. Разницу видно по договору и по образцу отчёта.
Результаты проверки стоит сразу переводить в план работ по приоритетам — как оценивать вероятность и ущерб, мы разобрали в статье о рисках информационной безопасности. А самый дешёвый способ не собирать длинный отчёт — заложить защиту ещё на этапе проектирования IT-системы.
Цену считают по объёму работ: сколько внешних адресов и приложений в границах, сколько ролей пользователей нужно проверить, какая выбрана модель и входит ли повторная проверка. Сравнивать её стоит не с ценой сканера, а с ценой инцидента.
Пентеста как отдельной услуги у Syntra Systems нет, и мы не продаём его под другим названием. Мы начинаем с аудита информационной безопасности — от 1 200 $: составляем карту того, что нужно защищать, проверяем серверы, сети, почту, сайты и рабочие места на известные уязвимости, смотрим доступы и порядок работы с персональными данными и собираем отчёт, где для каждого риска есть вероятность, последствия и место в очереди.
Если по итогам аудита есть что закрывать, следующий шаг — защита данных и доступов, от 4 000 $: роли и двухфакторная аутентификация, шифрование, защита почты от подделки, резервное копирование с проверкой восстановления, межсетевой экран и VPN, регламенты на случай инцидента и обучение сотрудников. Состав работ — на странице кибербезопасности для бизнеса. Отчёт по аудиту пригодится и тогда, когда вы решите заказать пентест у специализированной команды: в нём уже описаны системы, доступы и известные слабые места.
Обсудим вашу задачу
Расскажите, что нужно сделать, — оценим сроки и стоимость и предложим решение.
Сканер сверяет версии программ и настройки с базой известных уязвимостей и выдаёт список находок. Пентест начинается там, где сканер заканчивает: специалист вручную проверяет, можно ли уязвимостью воспользоваться, и показывает, до каких данных удалось дойти.
После каждого значимого изменения: запуск нового продукта, переезд инфраструктуры, крупное обновление веб-приложения, смена подрядчика. Отчёт показывает состояние на дату работ, поэтому между пентестами регулярно запускают автоматическое сканирование уязвимостей.
Риск снижают правилами. Границы и запрещённые действия фиксируют до старта, опасные проверки согласуют отдельно, критичные системы тестируют в нерабочие часы. Разрушающие методы без письменного согласования не применяются, а в договоре описан порядок экстренной остановки работ.
Отдельной услуги «пентест» у нас нет, и под другим названием мы его не продаём. Цену проверки определяют число адресов и приложений, ролей пользователей и то, сколько команда знает заранее: от одного адреса сайта до схемы сети и исходного кода. Мы начинаем с аудита информационной безопасности — от 1 200 $.
Небольшой компании чаще выгоднее начать с аудита информационной безопасности и регулярного сканирования: они дешевле и находят основную массу типовых проблем. Пентест оправдан, когда базовые меры уже закрыты, а онлайн-сервис приносит деньги или хранит данные клиентов.
Отчёт превращают в план работ: уязвимости устраняют в порядке критичности, для каждой назначают ответственного и срок, после чего заказывают повторную проверку. Отчёт, который просто лёг в папку, компанию защищённее не делает.
Своими силами разумно вести регулярное сканирование уязвимостей и следить за обновлениями. Полноценная проверка требует отдельной квалификации и взгляда со стороны: собственная команда проверяет систему, которую сама же и настроила, и повторяет её слепые зоны.
Источники
