Pentest (Penetration Testing) — это метод оценки безопасности информационных систем или приложений, с использованием техник и инструментов, подобных тем, которые могут использовать злоумышленники. Целью пентеста является выявление уязвимостей в безопасности системы и предоставление рекомендаций по их устранению.

Пентест выполняется специалистами в области информационной безопасности, которые имеют опыт в использовании специализированных инструментов и техник.

Пентест может включать в себя внешнее или внутреннее тестирование. Внешний пентест предполагает анализ системы с точки зрения внешнего злоумышленника, который пытается получить доступ к системе через Интернет. Внутренний пентест включает в себя анализ системы с позиции внутреннего пользователя или сотрудника, который имеет доступ к системе.

Результатом пентеста является доклад, в котором представлены выявленные уязвимости в безопасности системы и рекомендации по их устранению. Доклад помогает владельцам системы или приложения понять, какие угрозы существуют для их информационных систем и как их можно устранить. В докладе также может быть перечислена информация о проведенных тестах, их результатах и методах, использованных для выявления уязвимостей.

Пентест должен выполняться только с разрешения владельца системы и в соответствии с законодательством об информационной безопасности.

Тестирование на проникновение (пентест/pentest, penetration test) – один из элементов аудита защищенности информационной системы. Пентест это не только элемент комплексного аудита информационной безопасности, но и самодостаточный инструмент для оценки реального уровня защищенности IT-инфраструктуры.

Автоматическая проверка является одним из этапов тестирования на проникновение. Сканер уязвимостей позволяет выявить базовые уязвимости в системе и собрать необходимую информацию для следующих этапов тестирования. Пентест же позволяет понять специалистам, каким образом найденными уязвимостями могут воспользоваться злоумышленники, и разработать рекомендации по их наиболее эффективному устранению. Тестирование на проникновение может включать в себя не только анализ информационных систем, но и инфраструктуры в целом: топологии сетей, настроек оборудования (в том числе Wi-Fi) и других потенциальных точек воздействия.

Анализ защищённости предназначен для поиска всех возможных уязвимостей в IT-инфраструктуре. При базовом анализе защищенности исследование прекращается после обнаружения недостатка, то есть услуги не включают в себя выполнение атаки с эксплуатацией найденной уязвимости, как при тестировании на проникновение.

ИЦРС проводит как комплексный анализ защищенности, включающий в себя тестирование на проникновение, так и отдельно пентест в зависимости от потребностей организации.

Черный ящик (black box)
При тестировании методом «черного ящика» у специалистов нет информации о системе, они моделируют поведение злоумышленников, то есть неосведомленных людей. Этот подход наиболее близок к реальной атаке и требует высокой степени технических навыков. Пентестеру не предоставляются какие-либо схемы архитектуры или исходный код, т. е. сведения не являющиеся общедоступными.

Тест на проникновение методом «черного ящика» определяет уязвимости в системе, которые можно использовать вне сети. Тестирование основано на динамическом анализе работающих в данный момент программ и систем в сети. Специалист по тестированию использует инструменты автоматического сканирования и методологии ручного тестирования на проникновение. Также специалисты создают собственную карту сети на основе своих наблюдений. Основной недостаток метода — если специалисты не могут взломать периметр, любые уязвимости внутренних сервисов остаются не обнаруженными и не исправленными.

Серый ящик (grey box)
При тестировании методом «серого ящика» пентестер имеет ограниченное представление об уровне безопасности компании. Специалисту доступна информация о внутреннем устройстве сети, включая документацию, а также имеется непривилегированная внутренняя учетная запись к сети. Цель пентеста методом «серого ящика» — обеспечить более целенаправленную и эффективную оценку безопасности сети, чем оценка «черного ящика». Используя проектную документацию сети, пентестеры могут сосредоточить свои усилия на системах с наибольшим риском и ценностью с самого начала, а не тратить время на самостоятельное определение этой информации. Внутренняя учетная запись в системе также позволяет тестировать безопасность внутри усиленного периметра и имитирует злоумышленника с долгосрочным доступом к сети.

Белый ящик (white box)
При тестировании методом «белого ящика» внутренняя структура, устройство и реализация системы известны специалистам по пентесту. Тестирование методом «белого ящика» включает в себя анализ потока данных, потока управления, потока информации, методов кодирования. А также обработки ошибок в системе для проверки предполагаемого и непреднамеренного поведения ПО. Иными словами, метод заключается в том, что пентестер обладает правами доступа администратора и имеет полное представление об IT-инфраструктуре компании.

Тестирование методом «белого ящика» может быть выполнено:

• Для проверки того, соответствует ли реализация кода предполагаемому замыслу
• Для проверки реализованных функций безопасности
• Для выявления уязвимостей, которые можно использовать

Как часто проводить пентест?
Пентест должен проводиться с такой же частотой, с какой обновляется целевое приложение. Если речь идёт о тестировании системы безопасности, такой анализ достаточно проводить 2–3 раза в год. Банки и НКО обязаны проводить пентест ежегодно, согласно положению 683-П ЦБ РФ.

Банки и другие финансовые организации обязаны проводить пентест, исходя из Положения 683-П ЦБ РФ и ГОСТ 57580. Они обязывают банки проводить тестирование на проникновение для оценки уровня защиты информационных систем.

Объекты критической информационной инфраструктуры (КИИ) также обязаны проводить тестирование на проникновение, согласно Приказу ФСТЭК № 239.

Пентест проводится не только для соответствия требованиям законодательства и регуляторов. Тестирование на проникновение помогает частным и государственным компаниям объективно оценить уровень защищенности своей инфраструктуры и надежность систем защиты. Вовремя не выявленные уязвимости могут причинить серьезный финансовый и репутационный ущерб.