Пентест сайтов и веб-приложений

Отвечаем на вопросы

• Чем пентест сайта отличается от пентеста веб-приложения?

  Пентест сайта обычно связан с проверкой публичной части ресурса: страниц, форм, авторизации, личных кабинетов, административных панелей, загрузки файлов и других функций, доступных через интернет.

  Пентест веб-приложения чаще глубже и шире. Он нужен там, где есть сложная логика, роли пользователей, большое количество действий внутри системы, нестандартные процессы, API, интеграции и внутренние сценарии работы. Это может быть личный кабинет клиента, B2B-платформа, внутренний портал, сервис для сотрудников или сложный интернет-сервис.

  Проще говоря: пентест сайта — это чаще про внешний доступный сервис; пентест веб-приложения — это про более сложную систему с логикой, ролями, действиями и внутренними связями.

  На практике эти услуги часто пересекаются, поэтому формат проверки лучше определять после изучения конкретного проекта.

• Вы ничего не сломаете?

  Нормально организованный пентест не должен превращаться в хаос. Перед началом работ всегда согласуются границы проверки: что можно тестировать, в какое время, какие действия допустимы, какие разделы критичны для бизнеса и какие сценарии нужно исключить.

  Если у сайта есть чувствительные функции, высокая нагрузка, боевой личный кабинет, платежные операции или интеграции с внутренними системами, это отдельно учитывается в плане работ. Опасные действия не делаются наугад. Они либо ограничиваются, либо выносятся в отдельное окно, либо заменяются более безопасным сценарием проверки.

  То есть задача пентеста — не уронить сайт, а показать, где реальные риски и как ими могут воспользоваться. Именно поэтому работы всегда проводятся в согласованных рамках.

• Поможете составить техническое задание для пентеста?

  Да. Это нормальная практика. У многих заказчиков нет готового технического задания, потому что они не обязаны разбираться в деталях проведения пентеста.

  Обычно на старте достаточно базовой информации: какой сайт или сервис нужно проверить, какие разделы и функции в приоритете, есть ли личные кабинеты, административные панели, API, формы загрузки файлов, есть ли ограничения по времени и критичные бизнес-процессы, нужен ли black box, gray box или white box формат.

  На основе этого можно подготовить понятное ТЗ: с границами проверки, составом работ, ограничениями, результатом и форматом отчетности.

• Как часто нужно проводить пентест?

  Единого ответа для всех нет, но есть нормальная практическая логика.

  Пентест стоит проводить перед запуском нового сайта или сервиса, после серьезных доработок, после смены подрядчика или команды разработки, после подключения новых интеграций, после инцидента или попытки взлома, а также периодически, если сайт критичен для бизнеса и постоянно меняется.

  Если сайт активно развивается, одна проверка когда-то давно почти ничего не гарантирует. Безопасность сайта меняется вместе с его кодом, логикой и инфраструктурой.

• В пентесте сайта есть проверки узлов, хостинга, сервера, базы данных, регистратора и других подобных вещей?

  Это зависит от границ работ.

  Базовый пентест сайта обычно сосредоточен на самом сайте или веб-приложении: страницах, формах, кабинетах, API, авторизации, логике работы и связанных функциях.

  Но при необходимости в проект можно включить и смежные компоненты: сервер, на котором размещен сайт, конфигурацию веб-сервера, базы данных и доступ к ним, панели управления хостингом, почтовые и служебные сервисы, DNS и настройки домена, а также отдельные узлы, которые связаны с работой сайта.

  Главное — заранее определить, что именно входит в объем работ. Иначе у заказчика одно ожидание, а у исполнителя другое.

• Пентест каких CMS вы делаете? Проверяете ли самописные сайты и сайты на каких языках программирования?

  Да. Пентест можно проводить как для популярных CMS, так и для самописных решений.

  Проверка возможна для сайтов на WordPress, Bitrix, Joomla, Drupal, OpenCart и других системах, а также для самописных проектов на PHP, Python, JavaScript, Node.js, Java, .NET и других языках и фреймворках.

  Для нас важнее не название CMS или языка, а то, как устроен сайт: есть ли личные кабинеты, административные разделы, формы, API, загрузка файлов, роли пользователей, интеграции и нестандартная логика. Именно это определяет глубину и формат пентеста.

• Можно ли провести тайный пентест, не оповещая сотрудников? Хочу их проверить.
  Такой сценарий возможен, но он должен быть заранее согласован с заказчиком и оформлен в понятных рамках. Обычно речь идет не о тайном пентесте сайта в чистом виде, а о проверке реакции сотрудников, администраторов или службы ИБ на определенные действия: например, на попытку входа, фишинг, подозрительную активность или работу с доступами.
  Здесь очень важно не выходить за рамки дозволенного. Нужно заранее определить, кого можно затрагивать, а кого нет, какие действия допустимы, какие системы нельзя трогать, как останавливаются работы, если возникает риск для бизнеса, и кто со стороны заказчика знает о проверке и может ее остановить.
  Если задача — именно проверить сотрудников, это лучше оформлять как отдельный сценарий с согласованными условиями, а не как обычный пентест сайта.