Практическое руководство · До теста

Как подготовиться
к пентесту

Всё, что решается до первого дня тестирования, — цель, периметр, среда, учётные записи, правила, люди — и почему каждый пропущенный пункт стоит оплаченных дней теста.

Обновлено 7 мин чтения 8 источников
Содержание
  1. Почему подготовка важна
  2. 1. Цель — раньше периметра
  3. 2. Периметр — письменно и полностью
  4. 3. Продакшен или копия
  5. 4. Сколько информации дать тестировщику
  6. 5. Учётные записи и доступ
  7. 6. Правила проведения
  8. 7. Люди
  9. Чек-лист подготовки по типу теста
  10. 8. Что после отчёта
  11. Частые вопросы
  12. Источники

За 30 секунд

  • Пентест — способ получить уверенность в безопасности системы, а не в первую очередь найти уязвимости; цель записывается до периметра 1.
  • Периметр фиксируется письменно, с техническими границами теста и явными исключениями 1.
  • Тестирование в продакшене возможно и иногда обязательно (TLPT по DORA, п. 33.3 НБМ), но планируется и согласуется с руководством 456.
  • Чем меньше информации у тестировщика, тем больше оплаченного времени уходит на разведку и уязвимости могут остаться ненайденными 1.
  • Правила для найденных данных и хранения доказательств устанавливаются до теста, а не после 2.
Периметр
письменно 1
Учётные записи
2 на роль 8
Доказательства
правила заранее 2
Результаты
хранятся 12 мес. (PCI) 3

Почему подготовка важна

Тест на проникновение оплачивается днями специалиста. Сколько из них уйдёт на собственно тестирование, а сколько — на ожидание доступа, уточнение периметра и поиск того, кто может что-то одобрить, решается до начала. По нашей практике, первый день неподготовленного теста почти целиком уходит на учётные записи и согласования.

NCSC, британский орган по кибербезопасности, описывает тест на проникновение как способ получить уверенность, что система выдерживает попытку взлома, а не как основной способ поиска уязвимостей 1. Для подготовки это важно: уверенность нужна для конкретной цели, а цель определяет всё остальное.

1. Цель — раньше периметра

Тест, заказанный «чтобы был отчёт», и тест, заказанный «чтобы узнать, может ли кто-то добраться до данных клиентов», выглядят по-разному с первого дня. Сформулируйте цель одним предложением — поставщик построит план вокруг неё:

  • соответствие конкретному стандарту (PCI DSS, ISO 27001, DORA, Закон 48/2023);
  • проверка релиза или крупного изменения;
  • требование клиента или партнёра;
  • проверка обнаружения: видит ли команда атаку и реагирует ли.

2. Периметр — письменно и полностью

NCSC рекомендует завершать определение периметра документом, где среди прочего указаны технические границы теста 1. На практике документ включает:

  • включённые домены, поддомены и IP-адреса — и явно исключённые;
  • приложения и API с версией и средой;
  • кому принадлежит каждая система: если хостинг у внешнего провайдера, нужно его согласие;
  • интегрированные сторонние системы — платежи, идентификация, — которые не тестируются без их согласия.

3. Продакшен или копия

Тестирование в продакшене даёт реальные результаты, но требует мер предосторожности и согласованного окна. Для некоторых организаций оно не опционально:

ДокументЧто говорит о продакшене
DORA, ст. 26TLPT проводится на живых продакшен-системах с мерами контроля рисков 4
НБМ, п. 33.3Тесты на проникновение по утверждённым сценариям, на живом продакшене 5
ISO 27001, 8.34Тесты на работающих системах планируются и согласуются между тестировщиком и руководством 6
Руководство PCIОграничения — временные окна, пропускная способность, старые системы — указываются в отчёте 2

Копия препродакшена убирает операционный риск при условии идентичности: те же версии, правила файрвола, настройки аутентификации — иначе вы тестируете несуществующую систему. Данные важны не меньше: в среде с тремя записями нельзя проверить авторизацию между клиентами. Подготовьте реалистичный обезличенный набор.

4. Сколько информации дать тестировщику

На практике используют три варианта: black box — тестировщик начинает без информации, как внешний атакующий; grey box — получает тестовые учётные записи и базовую документацию; white box — ещё и доступ к коду или конфигурациям. NCSC предупреждает, что из-за нехватки информации часть уязвимостей может остаться ненайденной за отведённое время 1. По нашей практике, grey box даёт больше всего за оплаченный день; black box имеет смысл, только если нужен именно взгляд внешнего атакующего.

5. Учётные записи и доступ

  • Две учётные записи на каждую роль: тест OWASP на небезопасные прямые ссылки на объекты (IDOR) проверяет, может ли пользователь получить объекты другого, а для этого нужны минимум два пользователя 78.
  • Учётные записи, которые не истекают и не блокируются после нескольких неудачных попыток.
  • MFA решён заранее — иначе первый день уйдёт на SMS-коды.
  • Доступ по VPN или разрешённые адреса в файрволе, если тест внутренний.
  • Документация: схема архитектуры, спецификация API, список ролей. Не обязательно красивая, но обязательно верная.

6. Правила проведения

Правила проведения определяют, что тестировщику можно и нельзя. Без них законное тестовое действие может запустить процедуру инцидента или договорную проблему с хостинг-провайдером.

ПунктЧто согласуется
Окно тестированияДни и часы тестирования вне пиковой нагрузки
Исключённые техникиОбычно отказ в обслуживании (DoS) и удаление данных
Критерии остановкиЧто немедленно останавливает тест и кто решает
Немедленное сообщениеКакая критичность сообщается сразу, а не в итоговом отчёте
Адреса тестировщиковIP, с которых идёт тестовый трафик, чтобы команда отличала его от реальной атаки
Данные и доказательстваЧто можно извлекать, как хранятся доказательства и когда уничтожаются — до теста 2
ОчисткаЧто тестировщик оставляет (учётки, файлы) и как это удаляется 2

7. Люди

Три роли с именами и телефонами: технический контакт, который в тот же день решит проблему с доступом, лицо, принимающее решения о расширении периметра или остановке теста, и экстренный контакт в нерабочее время. Решите также, предупреждать ли операционную команду: если нет, тест измеряет и обнаружение, но кто-то из руководства должен знать.

Со стороны поставщика NCSC рекомендует, чтобы сторонние тесты проводил только квалифицированный и опытный персонал 1. Запросите имена и сертификаты тестировщиков до подписания.

Чек-лист подготовки по типу теста

Каждый тип теста требует своего. Выберите ваш и отметьте, что уже готово; список попадёт в запрос предложения.

Чек-лист подготовки по типу теста

Выберите тип теста и среду; отметьте, что готово. Отметки остаются только на открытой странице и никуда не отправляются.

Что вы тестируете?
В какой среде?

8. Что после отчёта

Отчёт без времени на исправления остаётся документом. NCSC рекомендует, чтобы отчёт содержал способ устранения каждой найденной проблемы, но напоминает, что оценка риска и решение о применении исправлений остаются за организацией 1. Запланируйте с самого начала:

  1. Разбор отчёта

    Встреча, где техническая команда задаёт вопросы тестировщикам.

  2. Окно исправлений

    Зарезервированные ресурсы разработки на период после теста.

  3. Повторный тест

    Письменное подтверждение закрытия проблем; руководство PCI описывает и отдельный отчёт о повторном тесте 2.

  4. Хранение результатов

    PCI DSS требует хранить результаты тестов и исправлений не менее 12 месяцев (11.4.1) 3.

Частые вопросы

Сколько времени занимает подготовка к тесту на проникновение?
По нашей практике — от одной до трёх недель от подписания до первого дня теста; дольше всего — учётные записи и согласования хостинг-провайдеров. С готовым периметром, учётками и правилами можно начать за несколько дней.
Нужно ли предупреждать внутреннюю команду о тесте?
Зависит от цели. Если нужно проверить и обнаружение, операционную команду не предупреждают; если цель — только поиск уязвимостей, предупреждение экономит время и исключает ложные тревоги. В любом случае хотя бы кто-то из руководства и экстренный контакт должны знать.
Тест проводится в продакшене или в тестовой среде?
Оба варианта допустимы. Продакшен даёт реальные результаты, но требует согласованного окна и мер предосторожности; для TLPT по DORA и тестов, требуемых НБМ, он обязателен 45. Копия убирает операционный риск, только если идентична продакшену.
Зачем тестировщику две учётные записи на роль?
Чтобы проверить, может ли пользователь увидеть или изменить данные другого пользователя того же уровня, подменив идентификатор в запросе, — тест IDOR из руководства OWASP 8. С одной учётной записью проверка невозможна.
Что происходит с данными, которые находит тестировщик?
Это согласуется до теста: что можно извлекать, как хранятся доказательства и когда уничтожаются. Руководство PCI по тестам на проникновение рекомендует согласовывать эти правила заранее и сводить чувствительные данные к минимуму 2.

Источники

Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.

  1. NCSC — Penetration testing (руководство)ncsc.gov.uk · проверено 23 октября 2026 г.
  2. PCI SSC — Information Supplement: Penetration Testing Guidance v1.1 (2017)pcisecuritystandards.org · проверено 23 октября 2026 г.
  3. PCI DSS v4.0.1 — SAQ D для поставщиков услуг, r2 (текст требования 11.4.1)pcisecuritystandards.org · проверено 23 октября 2026 г.
  4. Регламент (ЕС) 2022/2554 (DORA), ст. 26eur-lex.europa.eu · проверено 23 октября 2026 г.
  5. НБМ — Регламент о минимальных требованиях к управлению рисками ИКТ (ПИК № 29/2025)bnm.md · проверено 23 октября 2026 г.
  6. ISO/IEC 27001:2022 — Информационная безопасность, требования (мера 8.34)iso.org · проверено 23 октября 2026 г.
  7. OWASP Web Security Testing Guide (WSTG) v4.2owasp.org · проверено 23 октября 2026 г.
  8. WSTG-ATHZ-04 — небезопасные прямые ссылки на объекты (IDOR)owasp.org · проверено 23 октября 2026 г.

Об авторах

Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.

Команда Pentest.mdИнженеры по безопасности с сертификатами CEH, CISSP, CISA и CISM

Связанные руководства

Сколько стоит пентестПентест или сканирование уязвимостей?Руководство по OWASP Top 10Пентест мобильных приложенийРуководство по PCI DSS v4.0.1Что делать после инцидентаВсе руководства →

Готовы начать?

Вместе пройдём чек-лист подготовки и определим периметр, правила и график.

Запросить предложение →Задать вопрос