Пентест — это контролируемая имитация действий реального злоумышленника для выявления уязвимостей в вашей ИТ-инфраструктуре и приложениях. Вы получите не формальный отчёт о соответствии чек-листу, а подтверждённый перечень эксплуатируемых уязвимостей с оценкой риска и приоритизированным планом устранения.
Кому нужна услуга
Компания проходит требования регуляторов или ISO/PCI DSS и нужен достоверный, а не формальный результат проверки защищённости
Вышел новый релиз веб-приложения или API, и нужно убедиться, что изменения не открыли новые уязвимости
Планируется выход на новый рынок или крупный клиент, который требует подтверждения безопасности вашего периметра
Руководство не понимает реальный уровень киберрисков и нуждается в объективной картине, а не в отчётах сканера
Недавно прошёл инцидент или подозрительная активность, и нужно проверить, эксплуатировалась ли брешь
Внутренняя команда ИБ не имеет ресурсов или независимой экспертизы для объективной проверки защиты
Что нужно от вас на входе
Перечень целей: домены, IP-диапазоны, веб-приложения, API, мобильные приложения, внутренняя сеть. Чтобы точно ограничить периметр и не задеть системы вне согласованной зоны
Письменное разрешение на тестирование от владельца систем (scope authorization). Юридическая защита обеих сторон и подтверждение правомерности работ
Согласованные правила engagement: окна тестирования, запрещённые методы, контакты для экстренной связи. Чтобы исключить влияние на продакшн и обеспечить контролируемость процесса
Доступы к тестовой среде и, при необходимости, учётные записи разных ролей. Для проверки сценариев с аутентификацией и оценки привилегированных рисков
Описание архитектуры и ключевых бизнес-процессов, которые защищаем. Чтобы оценивать риски с учётом критичности активов, а не только технической severity
Контактное лицо со стороны заказчика с правом принимать решения по ходу работ. Для оперативного согласования при обнаружении критичных находок
Комплект документов, который вы получаете
Описание услуги — наш стандарт качества: заранее видно, какие документы вы получите и зачем нужен каждый.
Документ | Формат | Для чего нужен |
|---|---|---|
Отчёт о тестировании на проникновение | PDF + редактируемая версия | Основной документ с методологией, находками, доказательствами и оценкой риска |
Реестр уязвимостей с приоритизацией | XLSX / таблица | Для передачи в трекинг задач и дальнейшего контроля устранения |
Executive Summary для руководства | PDF, 2–4 страницы | Краткая картина уровня риска и ключевых решений без технических деталей |
Технические приложения с доказательствами (PoC, скриншоты, логи) | PDF-приложение | Подтверждение эксплуатируемости находок для ИТ-команд |
План устранения с рекомендациями | PDF / XLSX | Приоритизированные шаги по закрытию уязвимостей с критериями проверки |
Протокол согласования scope и завершения работ | DOCX / PDF | Фиксация границ тестирования и формальное закрытие проекта |
Презентация результатов встречи-разбора | PDF / слайды | Для демонстрации выводов руководству и ИТ-команде |
План выполнения услуги
Этап | Что делаем | Результат этапа |
|---|---|---|
1. Бриф и уточнение целей | Встреча с заказчиком: цели, критичные активы, ожидания от результата, ограничения | Согласованное понимание задачи и критериев успеха |
2. Определение периметра и правил | Фиксация целей, окон тестирования, запрещённых действий, контактов | Подписанный документ scope и rules of engagement |
3. Разведка (reconnaissance) | Сбор информации о целях из открытых и внутренних источников | Карта поверхности атаки и список потенциальных точек входа |
4. Моделирование угроз и векторов | Формирование сценариев атак под реальные профили злоумышленников | Приоритизированный список сценариев для проверки |
5. Проведение контролируемых атак | Попытки эксплуатации уязвимостей в рамках согласованных правил | Подтверждённые уязвимости с доказательствами |
6. Оценка рисков и приоритизация | Сопоставление находок с критичностью активов и бизнес-влиянием | Реестр уязвимостей с оценкой риска |
7. Подготовка отчёта | Оформление технической и управленческой частей отчёта | Отчёт и executive summary |
8. Встреча-разбор с командой | Презентация находок, обсуждение приоритетов и подходов к устранению | Согласованный план устранения |
9. Поддержка устранения | Консультации по ходу закрытия уязвимостей и проверка исправлений | Подтверждение устранения критичных находок |
Чек-лист качества
Перед сдачей исполнитель проверяет результат по этому списку:
Scope и правила тестирования подписаны до начала активных действий
Все находки подтверждены воспроизводимыми доказательствами, а не выводом сканера
Оценка риска учитывает не только техническую severity, но и бизнес-критичность актива
В отчёте есть как техническая часть для ИТ, так и executive summary для руководства
Рекомендации по устранению конкретны, выполнимы и содержат критерии проверки
Отсутствуют непроверенные теоретические уязвимости без подтверждения эксплуатируемости
Проверено, что работы не повлияли на продакшн-среду и не оставили следов
Персональные данные и секреты, полученные в ходе теста, обработаны по политике конфиденциальности
Итоговый документ передан в согласованном формате с возможностью трекинга задач
Проведена встреча-разбор, а не просто отправлен PDF
Критерии приёмки работ
Работа считается выполненной, когда выполнены все пункты. Критерии фиксируем вместе с расчётом — до начала работ.
Полнота покрытия согласованного периметра. Каждая цель из scope имеет задокументированный результат проверки
Доказательность находок. По каждой уязвимости есть воспроизводимое подтверждение (PoC, логи, скриншоты)
Приоритизация по риску. Реестр содержит оценку риска и обоснование приоритета, согласованное с заказчиком
Применимость рекомендаций. ИТ-команда заказчика подтверждает, что шаги по устранению выполнимы в их среде
Отсутствие влияния на продакшн. Заказчик подтверждает отсутствие инцидентов и деградации сервисов в ходе работ
Передача в рабочий контур. Находки загружены в систему трекинга или OrgDevTools для дальнейшего контроля
На проверку результата — 3 рабочих дня. Замечания в рамках согласованного объёма устраняются без доплаты.
После сдачи: результат остаётся рабочим инструментом
Все материалы остаются в вашем пространстве OrgDevTools — их можно дорабатывать без исполнителя:
Проекты и задачи. Каждая уязвимость становится задачей с приоритетом, ответственным и сроком; статус устранения виден в реальном времени
База знаний и регламенты. Методология пентеста, правила scope и типовые рекомендации фиксируются как регламент и переиспользуются в следующих циклах
Процессы (BPMN). Процесс «обнаружение → приоритизация → устранение → проверка» описывается как схема с точками контроля
Сервис деск. Повторяющиеся находки и запросы на проверку исправлений принимаются и обрабатываются по единому каналу
AI-советник OrgDevTools. AI-советник OrgDevTools подсказывает команде шаги по регламенту устранения уязвимостей, находит в базе знаний похожие случаи и напоминает о контрольных проверках. Он также формирует сводки по статусу закрытия находок для руководителя без ручной сборки отчётов.
Чем эта услуга не является
Устранение уязвимостей и внесение изменений в код или конфигурации — это задача команды заказчика
Аудит соответствия требованиям регуляторов как отдельная услуга сертификации
Социальная инженерия против сотрудников и физическое проникновение, если это не согласовано отдельно в scope
Непрерывный мониторинг и реагирование на инциденты после завершения проекта
Стоимость и сроки
Стоимость рассчитывается после брифа: зависит от масштаба компании, числа подразделений и глубины проработки. Расчёт и состав работ фиксируем до начала — без сюрпризов в конце.
Частые вопросы об услуге «Проведение тестирования на проникновение (пентест)»
Чем пентест отличается от сканирования уязвимостей?
Сканер находит потенциальные проблемы по сигнатурам, пентест подтверждает, какие из них реально эксплуатируются, и показывает цепочки атак, которые сканер не видит.
Это безопасно для нашей продакшн-среды?
Работы ведутся в согласованных окнах и по правилам, которые фиксируются до старта. Опасные для стабильности проверки исключаются или проводятся на тестовом контуре.
Сколько это стоит и сколько занимает?
Стоимость рассчитывается после брифа и зависит от периметра, глубины тестирования и числа целей. Ориентировочные сроки также обсуждаются на брифе и фиксируются в плане работ.
Кто увидит результаты и как обеспечивается конфиденциальность?
Доступ к отчёту ограничен согласованным кругом лиц заказчика. Исполнитель работает по соглашению о конфиденциальности и не передаёт данные третьим сторонам.
Что делать после получения отчёта?
Находки переносятся в систему трекинга или OrgDevTools, приоритизируются и закрываются по плану. Исполнитель консультирует по ходу устранения и проверяет исправления.
Нужно ли проводить пентест регулярно?
Да, при значимых изменениях инфраструктуры или приложений и в рамках требований регуляторов. Периодичность определяется на брифе с учётом профиля риска.
Заказать услугу
Опишите задачу в заявке ниже — уточним детали, пришлём расчёт и план работ.