Моделируем действия злоумышленника: находим уязвимости в периметре, сети, веб- и мобильных приложениях и даём план их устранения с приоритетами.
Тестирование на проникновение (пентест) — это контролируемая атака на вашу инфраструктуру по согласованному сценарию. Мы действуем как настоящий злоумышленник, но без ущерба для работы компании: находим уязвимости, проверяем, можно ли их использовать, и показываем, к каким данным и системам это открывает доступ.
- Внешний и внутренний периметр
- Веб-сайты, API и мобильные приложения
- Wi-Fi и социальная инженерия
- Отчёт для руководства и ИТ-службы
- Повторная проверка после исправлений
Когда нужен пентест
- Нужно понять, насколько инфраструктура устойчива к реальной атаке, а не только к проверке по чек-листу.
- Предстоит аттестация, проверка регулятора или аудит: анализ защищённости требуется для ГИС, ИСПДн и объектов КИИ (в том числе по приказу ФСТЭК России № 117), а финансовым организациям — по ГОСТ Р 57580 и положениям Банка России.
- Изменилась инфраструктура: запустили новый сервис, личный кабинет, удалённый доступ или подключили филиалы.
- Хотите проверить, как службы ИБ и мониторинга замечают атаку и реагируют на неё.
Что тестируем
Внешний периметр
Публичные сервисы, серверы, VPN и почта, межсетевые экраны и шлюзы безопасности — всё, что видно из интернета.
Внутренняя сеть
Атака с правами рядового сотрудника или гостевого подключения: сегментация, права доступа, Active Directory, рабочие станции и серверы.
Веб-приложения и API
Сайты, порталы, личные кабинеты и API: аутентификация и авторизация, бизнес-логика, уязвимости из списка OWASP Top 10.
Мобильные приложения
Android и iOS: хранение данных на устройстве, обмен с сервером, защита от реверс-инжиниринга и обход логики приложения.
Беспроводные сети
Точки доступа и гостевые сети, стойкость паролей и шифрования, возможность попасть в корпоративную сеть через Wi-Fi.
Социальная инженерия
Фишинговые рассылки и звонки по согласованному сценарию: насколько сотрудники готовы распознать атаку и сообщить о ней.
Red Team
Комплексная целевая атака без предупреждения дежурных служб: проверяем не только защиту, но и скорость обнаружения и реагирования.
Физический доступ
Попытки пройти на объект и подключиться к сети или оборудованию: пропускной режим, охрана, видеонаблюдение, реакция персонала.
Модели тестирования
- «Чёрный ящик» — исполнитель знает только название компании или адреса, как внешний злоумышленник.
- «Серый ящик» — есть учётная запись обычного пользователя или часть документации; моделирует атаку инсайдера или взлом учётной записи.
- «Белый ящик» — доступна схема сети, исходный код и настройки; позволяет найти максимум проблем за отведённое время.
Как проходит работа
- Согласуем цели, объекты, модель и сроки, подписываем договор и соглашение о конфиденциальности. Заранее определяем, какие действия запрещены, чтобы не помешать работе систем.
- Собираем информацию об объектах из открытых источников и в ходе сканирования.
- Ищем уязвимости вручную и с помощью сертифицированных средств анализа защищённости, проверяем возможность их эксплуатации.
- Готовим отчёт и проводим встречу с вашей командой по результатам.
- После исправлений проводим повторную проверку найденных уязвимостей.
Что вы получите
- Перечень уязвимостей с оценкой критичности и описанием возможных последствий для бизнеса.
- Доказательства: шаги воспроизведения, скриншоты и фрагменты журналов.
- Рекомендации по устранению с приоритетами — что исправить в первую очередь.
- Краткое резюме для руководства и подробную техническую часть для ИТ и ИБ.
- При необходимости — помощь в устранении уязвимостей и внедрении средств защиты.
В работе используем, в том числе, сертифицированные ФСТЭК России средства анализа защищённости: XSpider PRO, MaxPatrol VM, PT BlackBox, RedCheck. Если после тестирования понадобится регулярный контроль уязвимостей, поможем выбрать и внедрить решение.
Обсудим ваш проект
Оставьте заявку — уточним объекты и цели, предложим модель тестирования и подготовим коммерческое предложение. Квант-Регион — лицензии ФСТЭК и ФСБ России на деятельность в области защиты информации.