6 вещей, которые нужно сделать перед пентестом

Serkan G***15 дней назад·103 сообщения·2,8 тыс. просмотр#пентест #подготовка #охват

Должность: Специалист по тестированию на проникновение
Тип организации: компания в составе холдинга
Дата регистрации: нояб. 2023 г.
Сообщение: 154

15 дней назад#1

Тестов хотят многие, а готовы к ним единицы. В неподготовленных проектах половина найденных уязвимостей — это и так известные вещи, и деньги уходят впустую.

Первое: четко пропишите объем работ в договоре. Какие домены, какие диапазоны IP, какие приложения. «Протестируйте всё» — это не объем работ.

Второе: подготовьте разрешение. Если тестируемая система вам не принадлежит (облачный провайдер, хостинг), нужно и их разрешение. Это не шутки, вопрос юридический.

Третье: тестовый стенд или прод? Если тестируем на проде, то в какие часы, кто на дежурстве, кто будет откатывать изменения, если что-то сломается — все должно быть зафиксировано письменно.

Четвертое: заранее закройте известные дыры. Обновите софт, смените пароли по умолчанию. За это платить не стоит, их и так найдут.

Пятое: сделайте бэкап и проверьте, восстанавливается ли он. Мы не тестируем системы без резервных копий.

Шестое: решите, кто будет читать отчет. Отчет для техников и резюме для руководства — это разные документы.

И еще добавлю: не тестируйте без разрешения чужие системы. Хотите что-то проверить — делайте это в своей среде.

Doki ekibiКоманда Doki

Должность: Официальный аккаунт
Отрасль: Информационная безопасность и цифровые технологии
Тип организации: Doki
Дата регистрации: март 2023 г.
Сообщение: 310

15 дней назадСамый полезный#2

Со всем согласны, особенно со вторым пунктом.

Добавим еще: после теста исправления и повторное тестирование — это разные задачи. Подтверждение закрытия уязвимости — это не то же самое, что само исправление. При получении КП спрашивайте, входит ли повторное тестирование.

Кроме того, ни один тест не выдает сертификат «система безопасна». Тест показывает только то, что было найдено в рамках охвата на конкретную дату.

TolgaНовый участник

Должность: Разработчик
Тип организации: кооператив
Дата регистрации: нояб. 2024 г.
Сообщение: 41

14 дней назад#3

Четвертый пункт очень верный. У нас треть первого отчета была из-за отсутствия обновлений. Было стыдно.

MerveУчастник

Должность: Операционный директор
Тип организации: кооператив
Дата регистрации: март 2024 г.
Сообщение: 118

14 дней назад#4

Дополнение от операционного отдела к третьему пункту: у дежурного в этот день не должно быть других задач.

У нас так вышло: в день теста у дежурного коллеги еще было совещание по логистике, когда система начала тормозить, никто не заметил в течение двадцати минут. Никто не виноват, ошибка планирования.

Ferhat G***Новый участникУчастник сообщества

Дата регистрации: май 2026 г.
Сообщение: 180

14 дней назад#5

У меня будет вопрос, не хочу уходить от темы, но... Когда пытаешься изменить всё сразу, ничего не приживается.

Интересно, есть ли те, кто делает иначе.

Polat E***Участник

Должность: Специалист технического сервиса
Отрасль: Сельское хозяйство
Тип организации: кооператив
Дата регистрации: март 2024 г.
Сообщение: 273

14 дней назад#6

Слежу за темой.

Elif Z***Эксперт

Должность: Планирование производства
Отрасль: стекло
Тип организации: среднее предприятие
Дата регистрации: февр. 2023 г.
Сообщение: 164

14 дней назад#7

Краткое резюме для новичков: Время обнаружения проблемы напрямую определяет ее стоимость.

Это мое мнение, не утверждаю, что оно единственно верное.

İsmailУчастник

Должность: Системный администратор
Дата регистрации: дек. 2023 г.
Сообщение: 128

14 дней назад#8

Мы тоже какое-то время назад застряли на том же месте. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Если напишете результат здесь, это поможет и другим.

Beren B***УчастникУчастник сообщества

Дата регистрации: окт. 2023 г.
Сообщение: 114

14 дней назад#9

Мы тоже какое-то время назад застряли на том же месте. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Если напишете результат здесь, это поможет и другим.

Gürkan Y***Участник

Должность: Продавец-консультант
Отрасль: Пластик
Тип организации: кооператив
Дата регистрации: янв. 2023 г.
Сообщение: 213

14 дней назад#10

Спасибо очень помогло. Спешка в решениях оборачивается исправлениями через полгода.

Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки. Конечно если ваша ситуация отличается, всё меняется.