Методология тестирования
Как устроен проект DeteAct: какие стандарты применяем, по каким правилам работаем с продакшеном и данными, как оцениваем риск и что именно получает заказчик. Документ написан, чтобы руководитель ИБ мог сравнить подход с внутренними требованиями до первого звонка.
- Стандарты
- OWASP WSTG, MASVS/MASTG, PTES, NIST SP 800-115, MITRE ATT&CK
- Оценка риска
- CVSS 3.1 с поправкой на контекст и бизнес-последствия
- Модели
- Чёрный, серый (рекомендуем), белый ящик
- Критические находки
- Уведомление в день обнаружения
- Перепроверка
- Одна контрольная, в течение 10 рабочих дней после запроса
- Статус исполнителя
- Лицензия ФСТЭК на ТЗКИ №Л024-00107-00/00581935
Стандарты и где их применяем
| Стандарт | Где применяем |
|---|---|
| OWASP Testing Guide (WSTG) | Базовый чек-лист проверок веб-приложений и API: от сбора информации до бизнес-логики и клиентской части. По нему же фиксируем покрытие в отчёте. |
| OWASP Top 10, OWASP API Security Top 10 | Классификация находок и обязательный минимум проверок для веб и API; используется как общий язык с разработкой. |
| OWASP MASVS / MASTG | Требования и методика тестирования мобильных приложений iOS и Android: хранение данных, криптография, сеть, платформа, устойчивость к реверс-инжинирингу. |
| PTES (Penetration Testing Execution Standard) | Структура проекта по инфраструктуре: разведка, моделирование угроз, анализ уязвимостей, эксплуатация, постэксплуатация, отчёт. |
| NIST SP 800-115 | Планирование и документирование технической оценки защищённости; требования к правилам тестирования и обращению с результатами. |
| MITRE ATT&CK | Планирование и описание сценариев red teaming: тактики, техники и то, какие из них обнаружила защита. |
| CVSS 3.1 | Оценка уровня риска каждой находки с учётом контекста системы и бизнес-последствий. |
| PCI DSS, 152-ФЗ, ГОСТ Р 57580 | Требования заказчика к объёму и оформлению результатов; отчёт готовится так, чтобы его приняли аудиторы и регуляторы. |
Правила тестирования
- Область
- Перечень адресов, приложений, ролей и сегментов. Всё, что не перечислено, не тестируется; расширение области согласуется письменно.
- Окна работ
- Рабочие часы по умолчанию; для продакшена и нагрузочных сценариев — согласованные окна с дежурным со стороны заказчика.
- Работа с продакшеном
- Разрушающие проверки, нагрузка, реальные платежи и массовые операции с данными исключены. Предпочтителен тестовый стенд, идентичный продакшену.
- Стоп-условия
- При риске нарушения доступности или целостности специалист останавливается и согласует дальнейшие действия. Заказчик может приостановить работы в любой момент.
- Экстренная связь
- Контактные лица с обеих сторон и канал уведомлений; критические находки сообщаются в день обнаружения с временной рекомендацией.
- Обращение с данными
- Доступы и артефакты — в ограниченном контуре, передача по защищённым каналам, минимальные примеры для PoC, удаление после гарантийного срока.
- Исполнители
- Штатные специалисты DeteAct; имена и квалификация сообщаются заказчику, субподряд не используется.
Модели тестирования
| Модель | Что получает команда | Что даёт | Ограничения и рекомендация |
|---|---|---|---|
| Чёрный ящик | Нет доступов и информации, кроме адреса цели | Имитирует внешнего злоумышленника; показывает, что доступно без учётной записи | Меньшее покрытие за то же время; часть логики остаётся непроверенной |
| Серый ящик | Тестовые учётные записи всех ролей, описание функций, схема сети | Максимум покрытия за выделенное время; проверка разграничения доступа между ролями | Рекомендуемая модель для большинства приложений и внутренних сетей |
| Белый ящик | Исходный код, конфигурации, документация, доступ к стендам | Подтверждение находок по коду, поиск того, что снаружи не видно; совмещается с аудитом кода | Требует больше времени на изучение материалов; даёт самый полный результат |
Этапы проекта
- 01
Скоупинг и правила тестирования
1–2 рабочих дняФиксируем область (адреса, приложения, роли), модель нарушителя, модель тестирования, окна работ, запрещённые действия и контакты для экстренной связи. По результатам готовим коммерческое предложение с фиксированной стоимостью и сроками. NDA подписываем до получения любых технических данных.
- 02
Разведка и инвентаризация
Для внешнего периметра — поиск поддоменов, сервисов, утечек и теневых активов; для приложений — декомпозиция на модули, контроллеры и API-методы, диаграмма потоков данных, перечень ролей; для внутренней сети — сегменты, домены, сервисы. Результат — карта объекта, по которой далее отслеживается покрытие.
- 03
Инструментальный анализ
Сканеры уязвимостей, DAST, при наличии кода — SAST и SCA, проверка версий компонентов. Каждое срабатывание верифицируется вручную: ложные отсеиваются, уровни риска уточняются. Сканирование — один из этапов пентеста, а не его замена.
- 04
Ручной поиск уязвимостей
Основная часть проекта. Ошибки авторизации и бизнес-логики, инъекции, состояния гонки, криптографические ошибки, слабости аутентификации, уязвимости клиентской части, ошибки конфигурации и сегментации. Специалисты работают по чек-листам стандартов и по собственным сценариям, построенным под конкретный объект.
- 05
Эксплуатация и построение цепочек
Находки подтверждаются эксплуатацией с демонстрацией реального эффекта: доступ к данным, выполнение кода, компрометация учётных записей и хостов. Несколько находок объединяются в цепочки, показывающие путь до чувствительных данных или критичных систем. Критические уязвимости сообщаем в день обнаружения.
- 06
Отчёт и разбор
до 1 неделиПередаём отчёт и проводим встречу с разработчиками и ИБ-командой: объясняем находки, приоритеты и порядок устранения. Структура отчёта описана ниже.
- 07
Перепроверка
10 рабочих дней после запросаПосле устранения уязвимостей выполняем одну контрольную перепроверку в рамках гарантийного срока и выдаём обновлённый отчёт со статусами. Дальнейший контроль возможен в формате непрерывного пентеста.
Классификация рисков
| Уровень | CVSS 3.1 | Примеры | Рекомендуемый срок устранения |
|---|---|---|---|
| Критический | 9,0–10,0 | Удалённое выполнение кода, доступ к базам с персональными или платёжными данными, захват домена, обход платежей | Немедленно; временные меры в день обнаружения, исправление в течение нескольких дней |
| Высокий | 7,0–8,9 | Подъём привилегий, доступ к чужим данным, захват учётных записей, SSRF во внутреннюю сеть | В ближайший релиз, ориентир — до двух недель |
| Средний | 4,0–6,9 | Ограниченные утечки, XSS с условиями, слабости аутентификации, ошибки конфигурации с частичным эффектом | В плановом порядке, ориентир — до месяца |
| Низкий | 0,1–3,9 | Раскрытие версий, отсутствие защитных заголовков, незначительные отклонения от лучших практик | В рамках регулярного цикла улучшений |
| Информационный | 0 | Наблюдения без прямого риска: особенности архитектуры, рекомендации по hardening | По усмотрению заказчика |
Структура отчёта
- 1. Резюме
- Оценка уровня защищённости, ключевые выводы, статистика находок по уровням риска, главные рекомендации на одной-двух страницах.
- 2. Область и методика
- Что и в какой модели тестировалось, сроки, стандарты, модель нарушителя и угроз, ограничения.
- 3. Инвентаризация
- Перечень обследованных активов: модули, API-методы, потоки данных, хосты и сервисы. Основа для подтверждения покрытия.
- 4. Цепочки атак
- Сценарии, в которых несколько находок приводят к значимому результату: от точки входа до чувствительных данных.
- 5. Находки
- Для каждой: описание, затронутые компоненты, уровень риска по CVSS и обоснование, шаги воспроизведения, доказательство (PoC), рекомендация по устранению.
- 6. План устранения
- Приоритизированный перечень рекомендаций с ориентировочными сроками и мерами на уровне процессов.
- 7. Приложения
- Перечень проверенных функций по чек-листу стандарта, использованные инструменты, данные для аудиторов и регуляторов при необходимости.
Прозрачность и перепроверка
Методология работает только тогда, когда заказчик может её проверить. Поэтому покрытие фиксируется в платформе, а исправления перепроверяются.
О платформе Scoper- Покрытие в реальном времени
- Scoper показывает проверенные эндпоинты, параметры и роли, объём запросов и активность специалистов по дням.
- Подтверждение отсутствия находок
- Если уязвимостей в модуле не найдено, заказчик видит, что модуль был проверен, а не пропущен.
- Перепроверка исправлений
- Одна контрольная перепроверка в течение 10 рабочих дней после запроса включена в стоимость; результат — обновлённый отчёт со статусами.
- Уведомления о критических находках
- В день обнаружения, по согласованному каналу, с временной рекомендацией по снижению риска.
Вопросы о методологии
Какие стандарты лежат в основе методологии DeteAct?
Как фиксируются правила тестирования?
Что произойдёт, если тестирование может нарушить работу сервиса?
Как выбирается уровень риска находки?
Как заказчик убеждается в полноте проверки?
Что происходит с данными и доступами после проекта?
Обсудить проект
Пришлите описание объекта и внутренние требования к пентесту, если они есть. Сопоставим их с методологией, предложим модель тестирования и зафиксируем состав работ, сроки и стоимость.
- Почта
- info@deteact.ru
- Телефон
- +7 499 444-12-46
- Офис
- Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
- Лицензия
- ФСТЭК России №Л024-00107-00/00581935