Тестирование на проникновение [Пентест]
Покажем, что на самом деле произойдет при атаке, а не теоретические угрозы.
Вы получите не просто отчет, а четкое руководство к действию по усилению защиты.
Убедитесь в эффективности ваших мер безопасности и инвестиций в них.
Взлом стоит дороже проверки. Штрафы, восстановление и простой считаются в миллионах, пентест - нет.
Отчёт о пентесте показывают клиентам, инвесторам и партнёрам как доказательство, что безопасностью занимаются, а не рассказывают о ней.
Находим уязвимости, через которые приходят шифровальщики и происходят отказы систем, и показываем, как их закрыть
Мы проверяем, действительно ли базы клиентов и финансовые отчёты недоступны тому, кто целенаправленно их ищет.
Зачем бизнесу пентест
Мы действуем как злоумышленник, но по согласованным правилам, ничего не ломая, и в конце отдаём отчёт с планом устранения.
и проверка сотрудников.
Сценарии отличаются точкой входа: из интернета, из вашей же локальной сети или через письмо конкретному человеку.
Какой пентест вам нужен
- Имитируем действия хакера из интернета, у которого нет никаких знаний о вашей системе. Ищем уязвимости в вашем сетевом периметре: на сайтах, серверах и в других онлайн-сервисах.
Результат: Вы получите отчет о том, можно ли «пробить» вашу внешнюю защиту, и рекомендации по укреплению периметра сети. - Имитируем действия инсайдера: нелояльного сотрудника или злоумышленника, который уже проник в вашу локальную сеть. Проверяем, какой ущерб можно нанести, имея доступ изнутри.
Результат: Вы получите оценку внутренних угроз и рекомендации по сегментации сети и настройке прав доступа для минимизации рисков. - Моделируем действия злоумышленников, которые пытаются обманом получить доступ к данным через ваших сотрудников (например, с помощью фишинговых писем или звонков).
Результат: Вы получите оценку осведомленности персонала и рекомендации по обучению команды для противодействия мошенническим техникам.
Нужна не имитация атаки, а полный список уязвимостей по всем точкам входа?
Анализ защищённостиНаш подход: от согласования до конкретных рекомендаций
Что вы получите
Пентест заканчивается не письмом «всё плохо», а документами, с которыми можно работать.
Отчёт для руководства
Что нашли, чем это грозит бизнесу и что закрывать в первую очередь. Без технических терминов: документ можно показать совету директоров или собственнику.
Технический отчёт
Каждая находка с уровнем критичности, способом воспроизведения и способом устранения. Для ваших ИТ-специалистов и подрядчиков.
План устранения
Пошаговый и приоритизированный: сначала то, что открывает реальный путь внутрь, потом остальное. Не список из ста пунктов, а порядок действий.
Встреча по результатам
Разбираем находки с вашей командой и отвечаем на вопросы. Отчёт без объяснений обычно ложится в стол.
Все материалы передаются только вам. До начала работ подписываем соглашение о неразглашении.
Частые вопросы
Что такое пентест простыми словами?
Пентест, или тестирование на проникновение, – это контролируемая атака на вашу инфраструктуру. Специалисты действуют как злоумышленник: ищут способ попасть внутрь, закрепиться и добраться до ценного.
Разница с настоящей атакой в трёх вещах. Границы и методы согласованы письменно до начала работ. Ничего не ломается и не удаляется. В конце вы получаете отчёт с описанием каждого шага и планом устранения.
Чем пентест отличается от анализа защищённости?
Анализ защищённости отвечает на вопрос «где у нас дыры»: сканеры и ручная проверка проходят по всем точкам входа и дают список уязвимостей с приоритетами. Важен охват.
Пентест отвечает на вопрос «а нас реально взломают»: мы не перечисляем уязвимости, а пробуем дойти до цели – получить доступ к базе клиентов, захватить сервер. Важна глубина.
Если проверок не было никогда, начните с анализа защищённости.
Кому пентест нужен по закону?
Организациям финансового рынка. Обязанность проводить тестирование на проникновение и анализ уязвимостей закреплена в положениях Банка России:
- кредитные организации – подпункт 3.2 пункта 3 Положения № 683-П от 17 апреля 2019 года;
- некредитные финансовые организации – подпункт 1.4.5 пункта 1.4 Положения № 757-П от 20 апреля 2021 года;
- участники переводов денежных средств – пункты 1.1, 2.11, 3.8 и 3.9 Положения № 821-П от 17 августа 2023 года;
- бюро кредитных историй, кредитные рейтинговые агентства и лица, оказывающие профессиональные услуги на финансовом рынке, – пункт 2.3 Положения № 808-П от 17 октября 2022 года.
Как именно проводить работы, Банк России описал в Методических рекомендациях № 2-МР от 22 января 2025 года. Там же заданы требования к исполнителю: лицензия на техническую защиту конфиденциальной информации, опыт и независимость от тех, кто строил проверяемую защиту.
Для банков и других организаций финансового рынка у нас отдельная страница – пентест по требованиям Банка России.
Пентест может сломать наши системы?
Границы работ и разрешённые методы согласуются письменно до старта. Разрушающие проверки – вывод сервисов из строя, изменение и удаление данных – в программу не входят, если вы сами не попросите их включить.
Если система критична для бизнеса, время самых чувствительных проверок согласуем отдельно.
Кто получит доступ к результатам?
До начала работ подписываем соглашение о неразглашении. Отчёт передаём только тем, кого вы назовёте.
Найденные уязвимости мы никому не показываем и не используем в маркетинге: в публичных материалах компания появляется только с вашего письменного согласия и без технических подробностей.
Нужно ли останавливать работу компании на время тестирования?
Нет. Работы идут на действующей инфраструктуре, поэтому границы и методы согласуются заранее.
От вас нужен один человек, с которым мы на связи: он подтверждает границы и получает предупреждение, если проверка может быть заметна.
Что делать, если найдут много критичных уязвимостей?
Это нормальный результат первой проверки, а не приговор. Гораздо хуже, когда те же уязвимости находит не подрядчик по договору, а посторонний.
План устранения приоритизирован: сначала то, что открывает реальный путь внутрь, потом остальное. Находки разбираем на встрече с вашей командой, чтобы отчёт не остался документом, который никто не прочитал.
Как часто нужно проводить пентест?
Единой нормы для всех компаний нет. Практический ориентир – после каждого существенного изменения: новый внешний сервис, переезд инфраструктуры, крупное обновление, слияние с другой компанией.
Организациям финансового рынка периодичность задают положения Банка России, перечисленные выше.
Мы свяжемся с вами и подготовим индивидуальное предложение.