Говорят про разные техники пентеста: что обязательно должно быть в нашем КП?

Feyza S***в прошлом году·78 сообщений·48,9 тыс. просмотров#тест на проникновение #инфобезопасность #сетевая безопасность #разбор сметы

Feyza S***УчастникУчастник сообщества

Дата регистрации: авг. 2023 г.
Сообщение: 251

в прошлом году#1

У нас логистическая компания, 30 сотрудников. Крупный корпоративный клиент в рамках проверки поставщиков запросил отчет о независимом аудите безопасности (пентесте). Мы запросили коммерческие предложения у двух ИБ-компаний: одна выставила счет на 35.000 TL, вторая — на 85.000 TL. В обоих КП общими словами написано «будут применены техники тестирования на проникновение», но состав работ кардинально отличается.

В дешевом предложении значатся только внешняя сеть и веб-приложение. В дорогом к этому добавлены внутренняя сеть, социальная инженерия и тесты беспроводных сетей. Мы в технических нюансах не разбираемся, поэтому сложно понять: разница в 50.000 TL — это реальная необходимость или навязанные допы?

Для бизнеса нашего масштаба (30 компьютеров и один портал отслеживания для клиентов) какие техники обязательно должны входить в КП? От чего можно спокойно отказаться, чтобы успешно пройти аудит заказчика и не нажить проблем?

Leyla Y***УчастникУчастник сообщества

Дата регистрации: март 2026 г.
Сообщение: 61

в прошлом годуСамый полезный#2

Короткий ответ: обязательный базовый минимум в КП — это пентест веб-приложения и тестирование внешнего периметра (сети). Социальная инженерия, внутренний периметр и Wi-Fi — это дополнительные опции, необходимость которых зависит от вашей инфраструктуры и конкретного ТЗ от проверяющего клиента.

Чтобы правильно определить скоуп, разделите задачу на три части. Первая — тест внешнего периметра. Специалисты сканируют снаружи ваши публичные серверы, роутеры и файрволы на предмет открытых портов и ошибок конфигурации. Вторая — веб-приложение, это критично: проверяют портал отслеживания на предмет инъекций (SQLi), обхода авторизации и управления сессиями. Так как клиент заходит именно туда через интернет, он будет смотреть на этот отчет в первую очередь.

Тесты внутренней сети и социальная инженерия из дорогого КП показывают, что сможет натворить злоумышленник, уже попав внутрь компании. Это физический визит в офис с подключением к кабелю либо фишинговые письма сотрудникам для кражи паролей. Если клиент в регламенте аудита прямо не требует проверки сотрудников и внутренней сети, эти пункты можно смело убирать. Базового теста в районе 35.000–45.000 TL вам вполне хватит для закрытия проверки.

Zeynep K***Эксперт

Должность: Директор по маркетингу
Отрасль: Текстиль
Тип организации: компания с двумя филиалами
Дата регистрации: нояб. 2023 г.
Сообщение: 330

в прошлом году#3

Запросите у клиента точный чек-лист или регламент проверки в письменном виде. Большинству корпоратов нужен отчет только по внешним публичным ресурсам. Если там прямо не прописана социальная инженерия, берите только внешний периметр и веб-портал и подписывайте КП.

Doruk S***Новый участникУчастник сообщества

Дата регистрации: авг. 2026 г.
Сообщение: 278

в прошлом году#4

В прошлом году проходили то же самое на производстве на 40 человек. Выкинули из КП социальную инженерию, сбили ценник с 75.000 TL до 40.000 TL, оставив только периметр и портал. Аудиторы приняли отчет с первого раза вообще без вопросов.

İbrahim K***УчастникУчастник сообщества

Дата регистрации: апр. 2023 г.
Сообщение: 204

в прошлом году#5

Уточните, делают ли они ручную проверку веб-приложения по стандартам OWASP. Если они просто прогонят автоматический сканер и пришлют скриншоты, грош цена такому тесту — проверяющие вернут отчет из-за слабой детализации.

Serkan Ç***ВетеранУчастник сообщества

Дата регистрации: май 2023 г.
Сообщение: 294

в прошлом году#6

Портал отслеживания крутится на локальном сервере у вас в офисе или на внешнем облаке? Хранятся ли там персональные данные клиентов или коммерческие счета? От этого напрямую зависит глубина внешнего теста и используемые методы.

Meryem S***Участник

Должность: HR-специалист
Отрасль: Э-коммерция
Тип организации: компания с двумя филиалами
Дата регистрации: дек. 2024 г.
Сообщение: 303

в прошлом году#7

Социальную инженерию обычно пихают в КП просто чтобы раздуть чек. Отправить трем сотрудникам фишинговое письмо и написать в отчете «персонал кликнул» — за это точно не стоит переплачивать, это скорее обучение сотрудников, чем пентест.

Veli Y***УчастникУчастник сообщества

Дата регистрации: февр. 2024 г.
Сообщение: 8

в прошлом году#8

Той конторе, что заломила цену, скажите, чтобы дали отдельную разбивку чисто по тестам внешней сети и веб-приложения. Когда ценник расписан по пунктам сразу видны лишние расходы, и можно спокойно отсечь ненужное под свой бюджет.

Murat K***Участник

Должность: HR-директор
Отрасль: Грузоперевозки
Тип организации: стартап на ранней стадии
Дата регистрации: авг. 2025 г.
Сообщение: 333

Doki · Фирменный стиль · 2023

в прошлом году#9

мы сначала тоже захотели вообще всё включить а потом пришлось два дня у себя в офисе принимать безопасников ради теста внутренней сети и если это не строго обязательно, не лезьте в такие дебри и не ломайте рабочий процесс — достаточно просто доказать, что входная дверь у вас на замке.

Tuğçe V***Участник

Должность: Разработчик ПО
Отрасль: Медицинские услуги
Тип организации: бутиковое агентство
Дата регистрации: март 2022 г.
Сообщение: 289

в прошлом году#10

Из всего сказанного вывод простой: если заказчик прямо не требует тест внутренней сети или социнженерию по сотрудникам, в КП достаточно ограничиться веб-порталом и методами проверки внешней сети. Прежде чем тратить бюджет на дополнительные техники, перепроверьте ТЗ.