Тестирование на проникновение и анализ уязвимостей
Протестируем устойчивость вашей компании к кибератакам и выявим возможность реализации недопустимых событий, связанных с действиями внешних и внутренних нарушителей, найдем и проанализируем уязвимости веб и мобильных приложений.
Выберите направление пентеста
Кибератаки реальны
| 24 часа / 300 млн руб. | 70% кибератак | Атака через поставщика | От 800 тыс. до 21 млн руб. |
|---|---|---|---|
| среднее время шифрования инфраструктуры / средняя сумма выкупа | в 2025–2026 годах нацелены на уничтожение или парализацию ИТ-инфраструктуры | этот вектор использовался более чем в 30% всех APT-атак в 2025 году | может составлять стоимость одного часа простоя вследствие кибератаки |
Тестирование на проникновение как профилактика кибератак
Тестирование на проникновение (пентест) — это подконтрольная имитация действий реального злоумышленника в ИТ-инфраструктуре заказчика. Работы позволяют выявить возможные пути проникновения, оценить вероятность эксплуатации обнаруженных уязвимостей и определить их критичность.
Наши специалисты — этичные хакеры — ищут уязвимости и проверяют возможность их эксплуатации. Это позволяет определить, может ли злоумышленник получить доступ к инфраструктуре, перехватить управление веб- и мобильными приложениями или скомпрометировать другие ИТ-активы.
Цель тестирования на проникновение — найти слабые места в киберзащите до того, как это сделают реальные злоумышленники.
Какой пентест нужен именно вам
Вид тестирования зависит от предполагаемого сценария атаки, состава ИТ-активов и задач организации. Если вы не уверены, какой формат выбрать, специалисты помогут определить область и глубину работ.
| Направление | Что проверяем |
|---|---|
Внешний пентест |
Моделируем атаку снаружи и определяем, можно ли проникнуть во внутреннюю сеть через доступные из интернета узлы и сервисы. |
Внутренний пентест |
Оцениваем защищённость от атак из корпоративной сети: со стороны сотрудника, подрядчика или скомпрометированного устройства. |
Пентест веб-приложений |
Проверяем сайты, личные кабинеты и порталы на инъекции, XSS, CSRF, RCE, ошибки бизнес-логики и другие уязвимости. |
Пентест мобильных приложений |
Проверяем приложения для iOS и Android: клиентскую часть, локальные хранилища, API, backend-интеграции и каналы связи. |
Анализ защищённости |
Выявляем уязвимости и недостатки конфигурации в исследуемых системах. |
Социальная инженерия |
Оцениваем устойчивость сотрудников к фишинговым рассылкам, поддельным звонкам и другим сценариям воздействия. |
Пентест беспроводных сетей |
Анализируем корпоративные Wi-Fi-сети, точки доступа, протоколы аутентификации и шифрования. |
Пентест конечных точек |
Проверяем рабочие станции и серверы на возможность эксплуатации уязвимостей операционных систем и прикладного ПО. |
Пентест облачной инфраструктуры |
Проверяем облачные среды на ошибки IAM, открытые хранилища и небезопасные сетевые настройки. |
Red Team / Purple Team |
Моделируем многоэтапную целевую атаку и проверяем способность команды защиты выявить и остановить её. |
Повышение киберустойчивости |
Определяем сценарии недопустимых событий и меры для сокращения простоя и возможных потерь при атаке. |
Пентест API |
Проверяем REST-, GraphQL- и SOAP-интерфейсы на ошибки аутентификации, авторизации, инъекции и утечки данных. |
Методология и подход
- Упор на ручной анализ, а не только на данные сканирования. Автоматические сканеры используются на первом этапе. Более 70% работ занимает ручной анализ, поиск логических уязвимостей и нестандартных векторов атак, которые невозможно выявить автоматическим сканированием.
- Многовекторный анализ. Каждый объект рассматривается на нескольких уровнях: сеть, приложение, API и человеческий фактор.
- Следование международным стандартам. При проведении работ учитываются NIST SP 800-115, OWASP Web Security Testing Guide, PTES и OSSTMM.
- Практические отчёты. Заказчик получает не перечень CVE, а приоритизированный план устранения уязвимостей с описанием последствий для бизнеса, скриншотами, видео и PoC-кодом.
Почему САЙБЕР Бизнес Консалтинг
Лицензии ФСТЭК России и ФСБ России
- Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации.
- Лицензия ФСБ России на работы со средствами криптографической защиты.
- Возможность работы с объектами КИИ и сведениями, составляющими государственную тайну, при наличии необходимых допусков в рамках проекта.
Сертифицированные специалисты по тестированию на проникновение
- OSCP — практические навыки проведения тестирования на проникновение.
- OSEP, OSWE, OSWA, OSWP и CEH — компетенции в области тестирования инфраструктуры, веб-приложений и беспроводных сетей.
- CISSP и CISM — управление информационной безопасностью и проектами в сфере ИБ.
- Опыт участия и побед в международных CTF-соревнованиях.
Опыт выполнения проектов
- Более 20 лет на рынке ИБ- и ИТ-услуг.
- Более 200 проведённых пентестов.
- Более 30 клиентов из рейтинга РБК 500.
Этапы работ и результаты
| Этап | Что выполняют специалисты | Результат этапа |
|---|---|---|
| 1. |
Планирование и согласование
Определение границ тестирования, целей, правил проведения работ, точек контакта и исключаемых систем. |
Согласованный план и правила проведения тестирования. |
| 2. |
Сбор информации
Пассивный и активный сбор данных о доменах, IP-адресах, открытых портах, сервисах, структуре приложений и сотрудниках. |
Профиль поверхности атаки. |
| 3. |
Поиск и анализ уязвимостей
Автоматизированный и ручной анализ для выявления известных и потенциальных уязвимостей. |
Предварительный перечень уязвимостей с классификацией по критичности. |
| 4. |
Эксплуатация уязвимостей
Проверка возможности практической эксплуатации обнаруженных недостатков и получения доступа к системам и данным. |
Доказательства реализуемости выявленных сценариев атак. |
| 5. |
Постэксплуатационный анализ
Определение доступных после компрометации систем и данных, а также возможности дальнейшего перемещения по инфраструктуре. |
Оценка технических последствий и возможного ущерба для бизнеса. |
| 6. |
Подготовка отчёта и презентация результатов
Описание уязвимостей, уровней критичности, сценариев воспроизведения, доказательств эксплуатации и рекомендаций по устранению. |
Приоритизированный план повышения защищённости и киберустойчивости. |
Почему САЙБЕР Бизнес Консалтинг
-
1
Команда
Наши консультанты сертифицированы на международном уровне и имеют сертификаты CISA, CISM и CISSP, что подтверждает их опыт, квалификацию и знания в области информационной безопасности, управления рисками и проектами.
-
2
Долгосрочное сотрудничество
Наша цель — построить долгосрочные взаимовыгодные отношения с клиентом, поэтому, выполняя даже минорную работу, мы всегда фокусируемся на решении его стратегических задач.
-
3
Экспертиза
Наши консультанты обладают значительным опытом в ИТ и знакомы с его особенностями, присущими различным отраслям и индустриям, а также хорошо ориентируются в тенденциях и проблемах конкретных отраслей.
Стоимость и сроки услуг по проведению пентеста и анализа уязвимостей
| Услуга | Стоимость | Срок | Действие |
|---|---|---|---|
Консультация |
Бесплатно | ||
Пентест внешних ресурсов (до 10 IP-адресов) |
от 450 000 ₽
от 1 недели |
||
Пентест внутренних ресурсов (удаленно) |
от 500 000 ₽
от 2 недель |
||
Пентест внутренних ресурсов (очно) |
от 750 000 ₽
от 4 недель |
||
Социальная инженерия (email) |
от 350 000 ₽
от 2 недель |
||
Социальная инженерия (email + телефон) |
от 500 000 ₽
от 2 недель |
||
RedTeam / PurpleTeam |
от 3 000 000 ₽
от 4 недель |
||
Анализ защищенности мобильных приложений (до 2 мобильных приложений) |
от 450 000 ₽
от 2 недель |
||
Анализ защищенности веб-приложений (до 3 веб-приложений) |
от 450 000 ₽
от 2 недель |
Отвечаем на вопросы
-
Как часто нужно проходить пентест?После серьезных изменений инфраструктуры (внедрения / ввод в эксплуатацию новых систем, подключение новых партнеров / сервисов, смена ключевых сотрудников и других значимых штатных изменений). Учитывая средние темпы технологических изменений и обновлений мы рекомендуем компаниям, в значимой степени опирающихся на IT, проходить тестирование на проникновение каждые 6 месяцев, а для всех остальных - ежегодно.
Напомним, что для определенных видов организаций (КИИ, финансовые организации и др.) регулярность пентеста определена регуляторными требованиями. Однако им мы также рекомендуем проходить пентест каждые полгода наряду с ASV-сканированием в целях PCI DSS.
-
Нужно ли проводить повторный пентест после устранения замечаний?Не всегда. Базовый сценарий — устранить выявленные проблемы по отчету. Повторная проверка нужна, когда важно подтвердить закрытие критичных уязвимостей, показать результат внутреннему контролю или убедиться, что риск действительно снят.
-
Обязательно ли устранять все уязвимости до выпуска отчета?Нет. Отчет как раз и фиксирует текущее состояние защищенности на момент проверки. Но критичные недостатки стоит устранять без затягивания, особенно если они подтверждены практической эксплуатацией.
-
Есть ли единая утвержденная методика проведения пентеста?Универсальной обязательной методики для всех организаций нет. Обычно подход определяется задачей, границами тестирования, требованиями регулятора и согласованным ТЗ. В качестве ориентиров используются практики OWASP, NIST, OSSTMM и внутренние методики исполнителя.
-
Что обязательно должно быть в ТЗ?Цель проверки, границы тестирования, сроки, доступы, допустимые действия, состав итогового отчета и условия остановки работ при риске влияния на продуктивную среду.
-
Чем пентест отличается от анализа уязвимостей?Эти задачи могут выполняться отдельно друг от друга, но в реальной практике это две связанные части одной цельной услуги: анализ уязвимостей проводится для сбора исчерпывающего перечня уязвимостей, а тестирование на проникновение проводится для моделирования на их основе реальных векторов кибератак. Можно сказать, что анализ уязвимостей формирует теоретическую основу для дальнейшего практического тестирования полученных гипотез.
Наверх
Напишите нам и эксперты САЙБЕР Бизнес Консалтинг проконсультируют по услугам.