Тестирование на проникновение (Pentest)

Список услуг «Тестирование на проникновение (Pentest)»:

Категория 1: Пакетные предложения по пентесту (разово)

№ Услуга Цена ($) Цена (₽) Срок Что входит
1 Экспресс-пентест сайта (базовый) $1900 ₽171 000 3–5 рабочих дней Базовая проверка сайта на уязвимости: поиск SQL-инъекций, XSS-атак, CSRF, проверка форм входа/регистрации, проверка sensitive data (пароли, данные карт), проверка прав доступа, проверка конфигурации сервера (версии ПО, уязвимости), отчёт (20–30 страниц со списком уязвимостей + уровень критичности: высокий/средний/низкий + рекомендации по устранению), подходит для небольших сайтов и лендингов
2 Пентест сайта (стандартный) $3500 ₽315 000 5–7 рабочих дней Полная проверка сайта на уязвимости: SQL-инъекции, XSS-атаки, CSRF, LDAP-инъекции, XXE-атаки, проверка аутентификации и авторизации, проверка сессий (timeouts, токены), проверка sensitive data (шифрование, хранение), проверка API (REST, GraphQL), проверка файловых загрузок (upload bypass), проверка веб-сервера/Nginx/Apache, проверка базы данных, отчёт (40–50 страниц + PoC — доказательства эксплуатации + рекомендации с кодом для исправления)suites для_INET-магазинов, корпоративных сайтов
3 Комплексный пентест (веб-приложение + инфраструктура) $5500 ₽495 000 7–14 рабочих дней Полная проверка веб-приложения + инфраструктуры: все уязвимости из стандартного + внутренняя инфраструктура (серверы, базы данных, сети), внешняя инфраструктура (домены, IP-адреса, почтовые серверы), проверка firewall/брандмауэра, проверка SSL/TLS конфигурации, проверка DNS-записей, проверка cloud-среды (AWS, Azure, YandexCloud), social engineering (тест на фишинг сотрудников), отчёт (60–80 страниц + PoC + план устранения + повторная проверка после исправления), подходит для крупных компаний, e-commercee, B2B, финтех
4 Внешний пентест (извне, без доступа к системе) $4900 ₽441 000 5–7 рабочих дней Проверка системы на устойчивость извне (как чёрный ящик): сканирование портов, поиск открытых сервисов, уязвимости публичных IP-адресов, DNS-спуфинг, DDoS-тестирование (нагрузочное тестирование), проверка SSL/TLS, проверка email-сервера (SPF, DKIM, DMARC), отчёт (30–40 страниц + уязвимости + предложения по усилению защиты)
5 Внутренний пентест (с доступом к системе) $3900 ₽351 000 7–10 рабочих дней Проверка системы с внутренним доступом (как инсайдер): уязвимости внутренних сетей, доступ к базам данных, права доступа пользователей, privilege escalation, lateral movement, проверка Active Directory, проверка share/nfs-папок, отчёт (50–60 страниц + уязвимости критичности + рекомендации)

Категория 2: Типы пентеста (по методу тестирования)

Тип пентеста Что тестируется Цена ($) Срок Детали
Web application pentest Веб-сайты, веб-приложения $4500 5–7 дней SQLi, XSS, CSRF, аутентификация, сессии, API, файлы, сервер
Mobile application pentest Мобильные приложения (iOS/Android) $6500 7–10 дней Reverse engineering, unsafe data storage, insecure communication, authentication, jailbreak/root detection
Network pentest Локальные сети, серверы from $7500 7–14 дней Port scanning, vulnerability scanning, privilege escalation, lateral movement, Active Directory
Cloud pentest Облачные среды (AWS, Azure, YandexCloud) $8500 5–7 дней IAM permissions, S3 bucket security, cloud configuration, network security groups, encryption
Database pentest Базы данных (MySQL, PostgreSQL, MongoDB) from $7500 3–5 days SQL injection, weak authentication, unencrypted data, backup security, access control
Social engineering Фишинг сотрудников, телефония, личная встреча $8000 7–14 дней Email фишинг (рассылка 100+ писем), телефонный фишинг (звонок сотрудникам), очный фишинг (попытка физического доступа), отчёт (уровень подготовки сотрудников + рекомендации)
Red team Полная проверка системы командой опытных специалистов $15000 14–21 день Все виды пентеста + социальная инженерия + physical security + долгосрочный доступ, имитация реального хакерского атаки, отчёт (все уязвимости + timeline атаки + что заметили/не заметили)

Категория 3: Что проверяется при пентесте (чек-лист из 50+ проверок)

Категория Проверки Примеры
Инъекции SQLi, XSS, CSRF, LDAPi, XXE, SSTI SQL-инъекция через форму входа, XSS через comment field
Аутентификация Защита от brute-force, MFA, password policy, session management Проверка на подбор пароля, проверка timeout сессии
Авторизация Privilege escalation, IDOR, access control Проверка доступа к admin-панели как обычный пользователь
Sensitive data Шифрование, storage, transmission Проверка хранения паролей (hashing), проверка HTTPS для данных карт
Security configuration Server config, versions, errors Проверка версий ПО (устаревшие), проверка error messages (не раскрывают ли информацию)
File upload File type validation, size limit, execution Проверка загрузки .exe/.php файлов, проверка size limit
API Security REST, GraphQL, authentication, rate limiting Проверка JWT tokens, проверка rate limiting, проверка GraphQL injections
Business logic Logic flaws, abuse of functionality Проверка обхода оплаты, проверка многократного использования купонов
Client-side XSS, clickjacking, CORS, CSRF Проверка XSS через уязвимые виджеты, проверка CORS policy
Server-side SSRF, file inclusion, RCE Проверка SSRF через URL parameter, проверка file inclusion

Категория 4: Отчёт по пентесту (структура)

Раздел отчёта Страницы Содержание
Резюме для руководства 3–5 Обзор результата, критические уязвимости, общий рейтинг безопасности (A/B/C/D/F)
Методология 2–3 Методы тестирования (эксплуатация, сканирование, manual testing), инструменты
Список уязвимостей 20–40 Все найденные уязвимости + критичность (High/Medium/Low) + PoC (пошаговая эксплуатация)
Критические уязвимости 5–10 Уязвимости с критичностью High (SQLi, RCE, authentication bypass) + рекомендации
Рекомендации по устранению 10–15 Пошаговые рекомендации для каждой уязвимости + код для исправления
Приложения 5–10 Инструменты (Burp Suite, OWASP ZAP, Nmap), скриншоты, логи
Итого 40–80 страниц В зависимости от типа пентеста

Категория 5: Уровень критичности уязвимостей

Критичность Что означает Примеры Срочность устранения
Critical (Критическая) Позволяет получить полный доступ к системе RCE (Remote Code Execution),authentication bypass, SQLi с полным доступом к БД Срочно (24–48 часов)
High (Высокая) Позволяет украсть данные или получить ограниченный доступ Stored XSS, SQLi с доступом к чувствительным данным, privilege escalation В течение 1 недели
Medium (Средняя) Ограниченное воздействие, требует дополнительных условий Reflected XSS, CSRF, слабое шифрование, open ports В течение 1 месяца
Low (Низкая) Минимальное воздействие, информационные утечки Error messages revealing info, missing security headers, outdated software info В течение 3 месяцев

Категория 6: Инструменты пентеста (используются в работе)

Инструмент Назначение Тип
Burp Suite Pro Web application testing, proxy, scanner Commercial
OWASP ZAP Web application testing, proxy, scanner Free
Nmap Port scanning, network discovery Free
Metasploit Exploitation framework Free/Paid
SQLmap SQL injection automation Free
Hydra Brute-force攻擊 Password cracking Free
Nikto Web server scanner Free
Nessus Vulnerability scanner Commercial
Acunetix Web application scanner Commercial
Wireshark Network protocol analyzer Free

Эффективность пентеста:

  • Предотвращение утечек данных: 80–90% уязвимостей обнаружено до реального взлома

  • Соответствие требованиям: ФЗ-152, PCI DSS, GDPR, требования Банка России 683-П

  • Защита репутации: предотвращение взлома = нет ущерба для бренда

  • Снижение рисков: инвестиции в безопасность < ущерба от взлома (в 10–50 раз)

  • ROI пентеста: ×5–10 (окупаемость за счёт предотвращения ущерба)

  • Предотвращение DDoS-атак: нагрузочное тестирование = готовность к атакам

  • Проверка сотрудников: social engineering = уровень подготовки команды

Преимущества пентеста:

  • Найдите уязвимости ДО атаки хакеров: лучше вы их находите, чем они

  • PoC (proof of concept): доказательства эксплуатации = понятно, как исправлять

  • Пошаговые рекомендации: знаете точно, что исправлять (не гадаете)

  • Повторная проверка: после исправлений = checking that fixed correctly

  • Соответствие требованиям: PCI DSS, ФЗ-152, GDPR = нет штрафов

  • Защита клиентов: sensitive data (пароли, карты) = безопасность

  • Красная команда (Red team): реальная имитация атаки = проверка detect/respond

  • Идеально для: любого сайта с данными клиентов (e-commerce, банки, финтех, B2B, e-commerce, SaaS)

  • 3–5 дней: экспресс-пентест (лендинги, небольшие сайты)

  • 5–14 дней: стандартный/комплексный пентест (корпоративные сайты, e-commerce)

  • 14–21 день: Red team (крупные компании, финтех, банки)

  • 1 неделя: экспресс-отчёт + рекомендации

  • 1–2 месяца: полное устранение всех уязвимостей

Категория 7: Требования Банка России (для финтех/банков)

Требование Что нужно Цена ($) Срок
Пентест по 683-П Полный пентест по требованиям ЦБ РФ $15000 7–14 дней
Пентест по 719-П Пентест с отчётом для регулятора $15000 7–14 дней
Пентест по 757-П Пентест vault/secure environment $20000 10–14 дней
Анализ уязвимостей Проверка на наличие уязвимостей $9000 5–7 дней

Категория 8: Что делать после пентеста

Шаг Действие Срок
1 Получить отчёт с уязвимостями День 0
2 Критические уязмости: исправить 24–48 часов
3 Высокие уязвимости: исправить 1 неделя
4 Средние уязвимости: исправить 1 месяц
5 Низкие уязвимости: исправить 3 месяца
6 Повторная проверка (verification) После исправлений
7 Подтверждение регулятору (если требуется) Повторная проверка

Тестирование на проникновение — это метод оценки безопасности компьютерных систем или сетей средствами моделирования атаки злоумышленника.

Среди множества веб-сайтов можно наткнуться на так называемый «дырявый» сайт, и незнание администраторов веб-ресурсов или руководителей IT-отделов о наличии тех или иных проблем на веб-портале позволяет злоумышленникам проникать в системы компании, получать личные данные разных пользователей, а также вносить неприятные коррективы в работу компании в целом.

Для того, чтобы своевременно предотвращать потенциальные угрозы — проводятся пентесты. Они представляют собой поиск и изучение различных уязвимостей, которые позволяют получить полный контроль над сайтом или даже веб-сервером компании.

Я предлагаю своим потенциальным заказчикам пентест сайтов и веб-приложений. Также могу предложить услуги по тестированию беспроводных сетей. Реализацию различных пентестов я произвожу не один — в зависимости от объёма работ я иногда привлекаю людей, которых принято называть «белые шляпы» (белые хакеры). Это люди, которые за определённое денежное вознаграждение помогут в кратчайшие сроки выявить и устранить выявленные нарушения, предоставив рекомендации по повышению общей безопасности. «Белые шляпы» в отличии от «чёрных и других шляп» не используют выявленные уязвимости для нанесения вреда компаниям, не сохраняют у себя исходники «на всякий случай», не занимаются продажей имеющихся данных методом «промышленного шпионажа».

В рамках проводимого мною пентеста, вы получаете комплексный аудит безопасности вашего веб-сайта, веб-приложения, а также ваших беспроводных сетей (в зависимости от того, что вам требуется). По окончании проведённых исследований вы получаете подробный отчёт о выявленных уязвимостях и способах их устранения. Если у вас отсутствуют программисты, которые могут исправить найденные уязвимости, я готов сделать это сам, тем самым гарантировав 100% защиту вашего веб-ресурса, веб-приложения, или беспроводной сети.

Помните, если на сайте присутствуют критические уязвимости, то попав в руки злоумышленника, они могут быть использованы против веб-ресурса с целью вывода его из строя, сделав на длительное время неработоспособным. Не всегда восстановление копии сайта приносит желаемый результат. А за повторный вывод мобильного приложения в Google Play вам придётся повторно платить компании Google деньги, причём в долларах, а не рублях. А вывод из строя оборудования, которое раздаёт беспроводную сеть, приводит к существенным затратам в случае необходимости его замены.

Проводимые мной пентесты веб-сайтов, веб-приложений, и беспроводных сетей производятся исключительно по предоставленному техническому заданию заказчика. Расчёт итоговой суммы зависит напрямую от требуемого объёма работ, и количества привлечённых специалистов, необходимого для решения поставленной задачи.