Пентест сайта и аудит безопасности веб-приложения

Зачем нужен пентест, если «нас никто не взламывает»

Большинство взломов — не целевые атаки, а автоматический перебор известных уязвимостей по тысячам сайтов сразу. Устаревшая CMS, забытая тестовая страница, слабый пароль администратора — и вот уже база клиентов утекла, на сайте чужая реклама, а домен в чёрных списках. Для компаний, работающих с персональными данными, добавляется юридический риск: штрафы за утечку растут с каждым годом.

Пентест отвечает на вопрос «что увидит и сможет сделать реальный злоумышленник» до того, как это проверит кто-то недобрый. Для самостоятельной экспресс-проверки мы публиковали чек-лист аудита безопасности сайта — начните с него.

Методика: что именно проверяем

Работаем по методологиям OWASP: инъекции, обход авторизации, XSS, небезопасные прямые ссылки на объекты, уязвимости бизнес-логики — например, возможность оформить заказ с чужой скидкой или посмотреть чужие документы, перебирая номера в адресе. Проверяем серверное окружение: открытые порты, версии ПО, настройки TLS, права доступа. По согласованию — социотехническое тестирование: фишинговая рассылка сотрудникам показывает реальный уровень цифровой гигиены в компании.

Все работы ведутся по договору с NDA, в согласованные окна времени и без разрушающих воздействий: цель — найти дыры, а не устроить простой.

Отчёт, который можно отдать разработчикам

Результат — не пугающая таблица на сорок страниц, а рабочий документ: каждая уязвимость с оценкой критичности по CVSS, шагами воспроизведения и конкретной рекомендацией по исправлению. Отдельное резюме для руководства — какие риски закрыть в первую очередь и что это стоит. После исправлений бесплатно перепроверяем закрытые уязвимости.

Типовой аудит занимает две—три недели. Если своей команды разработки нет, исправим найденное сами — в рамках поддержки и доработки сайта. Регулярный пентест раз в год или после крупных релизов — норма для сервисов, работающих с деньгами и персональными данными.

Мифы о безопасности, которые дорого обходятся

«Мы маленькие, нас не тронут» — самый опасный миф: автоматические сканеры не выбирают жертв по размеру, они перебирают все сайты подряд. «У нас есть антивирус и файрвол» — периметр не спасает от уязвимости в самом приложении: SQL-инъекция проходит через любой файрвол легитимным HTTP-запросом. «Разработчики написали безопасно» — даже сильные команды ошибаются, потому что смотрят на код глазами создателя, а не атакующего.

Ещё один миф — «пентест сломает продакшен». Профессиональное тестирование ведётся по согласованному регламенту: разрушающие проверки — только на копии, работы — в согласованные окна, каждый шаг журналируется. За все годы практики ни один наш аудит не привёл к простою клиентского сервиса.

Вопросы и ответы