Главная мысль
Тестирование на проникновение проверяет реальные действия атакующего в согласованных границах, но не гарантирует безопасность всех систем.
Письменно согласуйте разрешение и границы тестирования
До начала теста определите активы, домены, диапазоны IP, приложения и API, тестовые учётные записи, окно работ и контактных лиц. Нагрузочное тестирование в рабочей среде, социальная инженерия, остановка сервиса и инфраструктура третьих сторон могут требовать отдельного письменного разрешения. Согласуйте экстренную остановку, срок хранения данных и безопасную передачу результатов.
Пройдите путь от разведки до отчёта
Обычный процесс начинается с пассивной разведки, затем включает разрешённое активное сканирование и проверку сервисов. Если подтверждена уязвимость, покажите последствия её эксплуатации только согласованным способом; закрепление в системе и извлечение данных должны быть отдельно включены в разрешённую область тестирования. В отчёте зафиксируйте доказательства, границы, ограничения и шаги исправления. При критическом воздействии или обнаружении актива вне охвата остановитесь и сообщите владельцу.
Выберите тип теста под задачу
При тесте «чёрного ящика» исполнитель не получает внутренней информации — он исследует среду без заранее предоставленных внутренних сведений. «Белый ящик» даёт более широкий анализ с документацией, кодом и учётными записями; «серый ящик» занимает промежуточное положение. Внешние, внутренние, прикладные и беспроводные тесты имеют разный охват. Тактики и техники MITRE ATT&CK помогают создать сценарий, определить источники журналов и проверить пробелы обнаружения; сама матрица не тестирует реальную среду.
Устраните уязвимости и повторно проверьте защиту
В отчёте укажите затронутый актив, условия воспроизведения, доказательства, влияние на бизнес, приоритет риска и возможное исправление. Автоматическое сканирование может давать ложные срабатывания и пропускать уязвимости; критичные результаты подтвердите вручную. Назначьте ответственного и срок, повторите сценарий после исправления и зафиксируйте решение по остаточному риску. Сканирование и тестирование на проникновение — разные методы; ни один не заменяет регулярную инвентаризацию и обновление ПО.