Проверка внешнего периметра

Что такое внешний пентест

Внешнее тестирование на проникновение — контролируемая имитация атаки на компанию через интернет. Специалисты проверяют, можно ли проникнуть во внутреннюю сеть через общедоступные веб-ресурсы, сетевые сервисы, шлюзы и другие элементы внешнего периметра.

Работы проводятся в согласованных границах и позволяют выявить слабые места до того, как ими воспользуется злоумышленник.

Главные вопросы проверки

Что покажет внешний пентест

Проверка связывает технические уязвимости с реальными сценариями атаки: от обнаружения доступного извне ресурса до возможного доступа к системам и данным.


  • Где находится точка входа

    Какие домены, сервисы, приложения или ошибки конфигурации могут стать началом внешней атаки.

  • Можно ли получить доступ

    Позволяет ли уязвимость обойти защиту, скомпрометировать учётную запись или получить доступ к системе.

  • Как может развиваться атака

    Какие системы и данные окажутся доступны после первоначального проникновения и каковы последствия для бизнеса.

Формат проверки

Варианты проведения внешнего пентеста

Варианты проведения внешнего пентеста
Без исходных данных

Black Box

Специалисты взаимодействуют только с общедоступными интерфейсами и не получают исходные данные об инфраструктуре. Модель максимально приближена к атаке внешнего нарушителя.

Ограниченные сведения

Gray Box

Заказчик предоставляет ограниченные сведения: тестовые учётные записи, описание API, отдельные схемы или фрагменты документации. Это позволяет глубже проверить авторизацию, управление сессиями и бизнес-логику.

Полные технические данные

White Box

Команда получает сведения об архитектуре, сетевых схемах, конфигурациях и исходном коде внешних приложений. Формат применяется для углублённого поиска сложных ошибок и цепочек атак.

Область тестирования

Что проверяем в рамках внешнего пентеста

В область работ включаются доступные из интернета ресурсы, через которые злоумышленник может попытаться получить первоначальный доступ к инфраструктуре компании.

Сеть IP-адреса, порты, DNS и опубликованные сетевые сервисы.
Web и API Сайты, личные кабинеты, порталы, приложения и программные интерфейсы.
Доступ VPN, почтовые сервисы, шлюзы и административные интерфейсы.
Интернет-периметр
Доступные из интернета IP-адреса, домены и поддомены.
Веб-ресурсы
Веб-сайты, личные кабинеты, корпоративные порталы и API.
Удалённый доступ
VPN-шлюзы, почтовые сервисы и системы удалённого доступа.
Сетевые службы
DNS, сетевые службы и открытые TCP/UDP-порты.
Защита периметра
Межсетевые экраны, балансировщики, WAF и другие средства защиты.
Облачные ресурсы
Облачная инфраструктура и опубликованные административные интерфейсы.
Свяжитесь с нами – мы поможем оценить объем работ на проект.

Как проводится проверка

Методология и подход

Ручной анализ

Автоматизированные сканеры используются для первичного обследования. Основная часть работ выполняется вручную: специалисты проверяют логику приложений, нестандартные векторы атак и возможность объединения отдельных недостатков в рабочую цепочку эксплуатации.

Многовекторная проверка

Внешний периметр рассматривается на сетевом, прикладном и инфраструктурном уровнях. Задача — не только найти отдельные уязвимости, но и определить, позволяют ли они получить первоначальный доступ и развить атаку.

Методологическая база

  • NIST SP 800-115;
  • OWASP Web Security Testing Guide;
  • PTES — Penetration Testing Execution Standard;
  • OSSTMM;
  • ГОСТ Р 58143-2018.

При необходимости выводы подтверждаются скриншотами, журналами сетевых сессий и PoC-кодом.

Техническая область

Проверяемые векторы атак

Уровень Что проверяется
Сетевой Открытые порты и сервисы, версии ПО, DNS, SNMP, SMTP, SMB, RDP, правила фильтрации и возможность обхода межсетевых экранов.
Веб-приложения и API Инъекции, XSS, CSRF, SSRF, XXE, IDOR, ошибки аутентификации и управления сессиями, недостатки разграничения доступа, бизнес-логики и конфигурации веб-серверов.
Инфраструктурный Подбор учётных данных, утечки через DNS, слабые настройки SSL/TLS, уязвимости VPN-шлюзов, панелей администрирования и систем удалённого доступа.

Требования и стандарты

Нормативная и методическая база

Положение Банка России № 851-П
Требования к тестированию информационной инфраструктуры кредитных организаций и филиалов иностранных банков.
Положение Банка России № 757-П
Требования к тестированию на проникновение и анализу уязвимостей для некредитных финансовых организаций.
Положения Банка России № 821-П и № 808-П
Требования к защите информации при переводах денежных средств и деятельности профессиональных участников финансового рынка.
Методические рекомендации Банка России № 2-МР
Подход к организации и проведению тестирования на проникновение в организациях финансового рынка.
Приказ ФСТЭК России № 117
Требования к защите государственных информационных систем и иных информационных систем государственных органов.
Приказы ФСТЭК России № 17, № 21 и № 31
Требования к защите информации в ГИС, ИСПДн и АСУ ТП, включая выявление и устранение уязвимостей.
ГОСТ Р 58143-2018
Методы тестирования проникновения при анализе уязвимостей программного обеспечения.
Федеральный закон № 152-ФЗ
Оценка эффективности мер защиты информационных систем, обрабатывающих персональные данные.
Хотите уточнить сроки и стоимость под ваш проект? Отправьте заявку.

Процесс и результат

Этапы работ и результаты

  1. Планирование и согласование

    Фиксируем IP-адреса, домены и подсети в области тестирования, цели, ограничения, исключаемые системы, модель нарушителя и порядок взаимодействия.

    Результат

    Согласованная программа и правила проведения работ.

  2. Сбор информации

    Проводим пассивную и активную разведку: определяем домены, поддомены, IP-адреса, открытые порты, версии сервисов и DNS-записи.

    Результат

    Карта доступной извне поверхности атаки.

  3. Анализ уязвимостей

    Проверяем сетевые сервисы, веб-приложения и инфраструктурные компоненты автоматизированными и ручными методами.

    Результат

    Перечень потенциальных уязвимостей для проверки.

  4. Эксплуатация

    В согласованных пределах проверяем возможность эксплуатации обнаруженных уязвимостей, получения доступа к системам и данным.

    Результат

    Подтверждённые сценарии проникновения и доказательства их реализуемости.

  5. Постэксплуатационный анализ

    Определяем, какие системы и данные доступны после компрометации, возможно ли дальнейшее перемещение по сети и развитие атаки.

    Результат

    Оценка технических последствий и рисков для бизнеса.

  6. Отчёт и презентация результатов

    Описываем уязвимости, критичность, сценарии воспроизведения и рекомендации. Представляем результаты технической и управленческой командам.

    Результат

    Приоритизированный план повышения защищённости внешнего периметра.