Как проводится пентест — как провести тестирование на боевом сайте без простоев?

Cem K***в прошлом месяце·48 сообщений·6,5 тыс. просмотров#тест на проникновение #инфобезопасность #сбой сервера #этичный хакер #сканирование уязвимостей

Cem K***Участник

Должность: Тестировщик
Отрасль: ИТ-услуги
Тип организации: сеть магазинов
Дата регистрации: сент. 2023 г.
Сообщение: 138

в прошлом месяце#1

У нас B2B-платформа оптовой торговли: 15 000 активных корпоративных пользователей в год, заказы падают круглосуточно без пауз. Новый крупный клиент поставил условие в договоре — предоставить отчет о комплексном тестировании на проникновение от независимой компании. Весь софт писала наша внутренняя команда, и мы еще ни разу не заказывали внешний аудит безопасности.

Так как заказы идут 24/7, руководство и технари больше всего боятся, что во время теста серваки лягут от нагрузки, побьются базы данных или клиенты просто не смогут оформить заказ. Мы сейчас выбираем подрядчиков по кибербезопасности, но пока не до конца понимаем, как грамотно рулить этим процессом на переговорах.

Как вообще проходит пентест и какие этапы он включает — от старта до финального отчета? Какие условия обязательно прописать с аудиторами и что настроить на своей стороне, чтобы на проде не было ни секундного простоя, ни потери данных?

Onur A***Участник

Должность: Полевой торговый представитель
Отрасль: Бумага
Тип организации: региональный дилер
Дата регистрации: май 2024 г.
Сообщение: 207

в прошлом месяцеСамый полезный#2

Короткий ответ: Пентест — это контролируемая проверка, при которой независимые безопасники имитируют действия реальных хакеров в рамках строго оговоренного скоупа. Чтобы не уронить прод, правила теста жестко фиксируются в договоре, любые DoS/DDoS-сценарии исключаются, а сам процесс идет под постоянным оперативным контролем дежурных инженеров.

Стандартный пайплайн выглядит так: Сначала очерчивают рамки (scope) — какие пулы IP, веб-приложения или эндпоинты API будут тестироваться, и выбирают подход: black box (снаружи без вводных данных), grey box (с правами обычного пользователя) или white box. Дальше специалисты крутят автосканеры, вручную ищут бизнес-логические уязвимости и пытаются их раскрутить, чтобы подтвердить критичность. По итогам сдается отчет с багами и рекомендациями по их устранению. Когда ваши разработчики все закроют, проводится ретест и выдается финальный чистый отчет.

Чтобы прод гарантированно остался жив, требуйте следующее: 1) Прямо в договоре зафиксируйте запрет на DoS/DDoS и сценарии с деструктивной модификацией баз данных, 2) Запланируйте основные атаки на ночные часы с минимальным трафиком, 3) Занесите IP-адреса тестировщиков в белый список фаервола, но заранее пропишите лимит запросов в секунду (rate limit), чтобы они не утилизировали ресурсы в полку, 4) Сделайте отдельный канал экстренной связи между вашим сисадмином и пентестером. При малейшем аномальном скачке нагрузки тест должен останавливаться мгновенно по вашей команде.

Hakan A***Участник

Должность: Тимлид разработки
Отрасль: Кейтеринг
Тип организации: компания из 20 человек
Дата регистрации: окт. 2023 г.
Сообщение: 86

в прошлом месяце#3

Самое важное правило против падений — жестко ограничить скорость запросов (rate limit) сканеров. Поставьте ребятам условие: не больше 5–10 запросов в секунду. И отдельно оговорите, чтобы любые фаззинг-проверки и инъекции по тяжелым эндпоинтам поиска и фильтрации делались только руками и под контролем.

Özge C***Эксперт

Должность: Бухгалтер
Отрасль: кожа
Тип организации: кооператив
Дата регистрации: янв. 2023 г.
Сообщение: 308

в прошлом месяце#4

Пункты, которые железно должны быть в ТЗ перед стартом: 1) Никаких DoS/DDoS и брутфорса на проде, 2) Запрет на удаление и изменение данных в боевой базе, 3) Работа строго в окне с 01:00 до 06:00, 4) При нахождении крита — немедленный алерт, не дожидаясь сдачи общего отчета.

Polat A***УчастникУчастник сообщества

Дата регистрации: май 2024 г.
Сообщение: 48

в прошлом месяце#5

Во время нашего первого аудита безопасник натравил автотест на форму регистрации, и у нас триггернулась отправка СМС. За три часа улетело 14 000 эсэмэсок с кодами, оператор тупо заблочил наш шлюз за спам. Перед стартом обязательно переводите все внешние пуши, СМС и платежки в мок-режим (песочницу).

Fatih G***Участник

Должность: Планирование производства
Отрасль: ИТ-услуги
Тип организации: среднее предприятие
Дата регистрации: нояб. 2024 г.
Сообщение: 31

в прошлом месяце#6

Уточните у клиента: им нужен отчет строго с аккредитацией TSE или подойдет аудит от конторы с международными сертификатами вроде CREST или OSCP? От этого ценники и список потенциальных подрядчиков кардинально различаются.

Meryem Ö***Участник

Должность: Специалист по экспорту
Отрасль: Клининговые услуги
Тип организации: Производственная компания из 40 человек
Дата регистрации: февр. 2024 г.
Сообщение: 13

в прошлом месяце#7

Делали grey box для похожей B2B-системы. Все про все заняло 5 рабочих дней. Накопали 2 крита и 4 средних бага. Так как правильно выбрали ночные часы, нагрузка на процы не поднималась выше 40%, ни один пользователь даже не заметил.

Uğur Ö***Участник

Должность: Коммерческий директор
Отрасль: ИТ-услуги
Тип организации: региональный дилер
Дата регистрации: янв. 2024 г.
Сообщение: 5

Doki · Фирменный стиль · 2026

в прошлом месяце#8

Если железо позволяет, снимите обезличенный дамп боевой базы и поднимите точную копию прода на стейджинге. Натравите аудиторов туда — и никакой угрозы реальным заказам и клиентам не будет в принципе.

Nazlı G***Участник

Должность: Бухгалтер
Отрасль: Сельское хозяйство
Тип организации: среднее предприятие
Дата регистрации: нояб. 2023 г.
Сообщение: 176

в прошлом месяце#9

Да не переживайте вы так адекватные профи никогда не станут бездумно ронять живую систему. Если держать связь и исключить DoS-тесты, все пройдет тихо и гладко.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

Mustafa T***ЭкспертУчастник сообщества

Дата регистрации: апр. 2026 г.
Сообщение: 150

в прошлом месяце#10

До старта работ обязательно подпишите NDA и официальное разрешение на проведение тестирования с живыми подписями. Четкое разграничение ответственности и право вашей стороны на немедленную остановку теста — это базовые требования ИБ.