Пентест сайта: что это, этапы, цена и как заказать

Что такое пентест и чем он отличается от сканирования

Пентест — это практическая проверка безопасности веб-ресурса методами, которыми пользуются настоящие злоумышленники. Специалист собирает информацию о сайте, ищет слабые места, пробует их эксплуатировать и фиксирует результат: какие данные удалось получить, какие действия выполнить, как далеко удалось продвинуться внутри системы.

Часто пентест путают с автоматическим сканированием уязвимостей. Сканер — это программа, которая по готовым шаблонам проверяет сайт на известные проблемы: устаревшие версии библиотек, отсутствие защитных заголовков, типовые ошибки конфигурации. Он быстро работает и недорого стоит, но выдаёт заметную долю ложных срабатываний и не понимает, как устроена логика вашего бизнеса.

Пентестер использует сканеры как вспомогательный инструмент, а основную работу делает вручную. Например, он может заметить, что в интернет-магазине можно изменить цену товара в запросе к серверу или посмотреть чужой заказ, просто поменяв номер в адресной строке. Такие ошибки логики и контроля доступа автоматика почти не находит, а последствия у них нередко тяжелее, чем у «классических» уязвимостей.

Три подхода к тестированию: black, gray и white box

Виды пентеста различаются по тому, какой объём информации о системе получает исполнитель до начала работ. От этого зависят глубина проверки, сроки и стоимость.

Black box («чёрный ящик») — тестировщик знает только адрес сайта и действует как внешний злоумышленник. Этот подход показывает, что видно и доступно снаружи, но из-за ограниченного знания системы часть проблем может остаться незамеченной.

Gray box («серый ящик») — исполнитель получает ограниченные сведения: учётные записи обычного пользователя и администратора, описание ролей, иногда схему API. Это самый востребованный формат, потому что имитирует атаку со стороны зарегистрированного клиента или сотрудника.

White box («белый ящик») — команда получает полный доступ к исходному коду, архитектуре и конфигурации. Такая проверка самая глубокая и позволяет найти скрытые ошибки, но требует больше времени и ресурсов.

Инструменты и стандарты, на которые опираются специалисты

Методику большинства веб-пентестов строят на открытых стандартах. Главный из них — OWASP Top 10, регулярно обновляемый перечень самых распространённых и опасных рисков для веб-приложений. К нему добавляют руководство OWASP Web Security Testing Guide и классификацию уязвимостей CWE.

Из инструментов чаще всего используют Burp Suite для перехвата и изменения запросов, OWASP ZAP как бесплатную альтернативу, Nmap для обнаружения открытых портов и сервисов, sqlmap для проверки SQL-инъекций, а также ffuf и dirsearch для поиска скрытых каталогов и файлов. Для CMS применяют специализированные сканеры, например WPScan для WordPress.

Важно понимать: инструмент — это лишь помощник. Ценность пентеста определяется опытом человека, который интерпретирует результаты, отсекает ложные срабатывания и выстраивает цепочки атак. Поэтому при выборе подрядчика смотрят не на список программ, а на методику, примеры отчётов и квалификацию команды.

Правовые аспекты и безопасность самого тестирования

Пентест всегда проводят только с письменного разрешения владельца системы. Если сайт размещён на виртуальном хостинге или в облаке, дополнительно уточняют правила провайдера: часть площадок требует уведомления о планируемых работах. Любые попытки проверить чужой сайт без согласия могут трактоваться как неправомерный доступ к компьютерной информации.

В договоре фиксируют объём работ, допустимые методы, контактных лиц на случай сбоя и условия конфиденциальности. Если на сайте обрабатываются персональные данные, отдельно оговаривают порядок обращения с ними: хороший подрядчик не копирует и не хранит реальные данные клиентов дольше, чем необходимо для подтверждения уязвимости.

Чтобы риски были минимальными, тестирование нередко проводят на копии сайта (стенде), а на боевой версии выполняют только безопасные проверки. Резервная копия перед началом работ обязательна: некоторые виды тестов, например проверка форм, могут создавать тестовые записи или нагружать сервер.

Сколько стоит пентест и как выбрать исполнителя

Цена пентеста зависит от нескольких факторов: количества страниц и функций, наличия личных кабинетов и API, выбранного вида (black, gray или white box), требуемой глубины и сроков. Проверка небольшого корпоративного сайта обходится существенно дешевле, чем тестирование крупной платформы с платежами и множеством ролей. Поэтому серьёзные компании не называют цену «с потолка», а сначала уточняют состав системы.

При выборе подрядчика обращайте внимание на следующее: есть ли у команды подтверждённый опыт и профильные сертификаты (например, OSCP или CEH), готовы ли показать обезличенный пример отчёта, описана ли методика, предусмотрена ли повторная проверка после исправлений и подписывается ли NDA. Настораживает, если вам обещают «стопроцентную защиту» или отдают только выгрузку автоматического сканера.

Отдельно уточните, что входит в итоговый документ. Хороший отчёт содержит краткое резюме для руководства, подробное техническое описание каждой находки с шагами воспроизведения, оценку опасности и конкретные рекомендации для разработчиков.

Что делать после пентеста

Получение отчёта — только начало. Первым делом обсудите результаты с разработчиками и распределите задачи по уровню опасности: критические и высокие проблемы закрывают сразу, остальные включают в план релизов. Исправления нужно проверить: самый надёжный способ — ретест от той же команды.

Параллельно стоит выстроить постоянную защиту. Обновляйте CMS, плагины и библиотеки, подключите веб-аппаратный экран (WAF), включите двухфакторную авторизацию для администраторов, настройте резервное копирование и мониторинг логов. Следите за уведомлениями в Яндекс Вебмастере и Google Search Console: оба сервиса сообщают о заражении сайта и проблемах безопасности, а для анализа посещаемости и подозрительных всплесков трафика пригодятся Яндекс Метрика и Google Analytics.

Такой подход превращает разовую проверку в процесс: пентест выявляет слабые места, мониторинг и обновления не дают появиться новым, а регулярный ретест подтверждает, что защита работает.