Определение области тестирования
Внешний пентест (внешнее тестирование на проникновение) фокусируется на выявлении уязвимостей в веб-приложениях и инфраструктуре, доступных из внешней сети. Перед началом работ необходимо четко определить границы тестирования: какие приложения, домены и IP-адреса входят в область проверки, а какие исключены. Документирование этого соглашения в контракте защищает как тестировщика, так и организацию-клиента.
Правильное определение области предотвращает непреднамеренное воздействие на системы, выходящие за пределы тестирования. Необходимо согласовать время проведения работ, методы тестирования и процедуры обхода критических систем. Это включает контакты для экстренных ситуаций и процедуры остановки тестирования при обнаружении проблем в production-окружении.
Сбор информации и разведка
Разведка является первым и критически важным этапом пентеста. На этом этапе собирается информация о целевой системе посредством открытых источников: доменов, поддоменов, IP-адресов, используемых технологий, а также информации о персонале организации. Используются инструменты для анализа DNS-записей, WHOIS-запросов, анализа веб-серверов и приложений.
Пассивная разведка не требует прямого взаимодействия с целевой системой и потому не вызывает подозрений. Однако даже здесь необходимо соблюдать авторизацию на проведение работ. На этапе разведки выявляются потенциальные входные точки атаки, которые позднее подвергаются активному анализу.
Оценка уязвимостей и активное тестирование
После сбора информации проводится активное тестирование приложений на предмет известных и потенциальных уязвимостей. Согласно методологии OWASP Web Security Testing Guide, необходимо проверять приложения на соответствие критериям безопасности и выявлять недостатки в реализации контролей доступа, валидации входных данных, управлении сессиями и других компонентов безопасности.
Тестирование должно охватывать типичные векторы атак, включая инъекции (SQL, команды), межсайтовые скрипты (XSS), ошибки настройки безопасности и другие категории из OWASP Top 10. Каждый найденный недостаток документируется с указанием точного места в коде или конфигурации, способа воспроизведения и потенциального влияния.
Анализ HTTP-коммуникации и заголовков безопасности
Тестирование безопасности HTTP-протокола является важным компонентом пентеста. Необходимо проверять наличие и корректность заголовков безопасности: Content-Security-Policy (CSP), X-Frame-Options, Strict-Transport-Security (HSTS) и других. Правильная конфигурация этих заголовков предотвращает целый класс атак, включая clickjacking и XSS.
Анализ HTTP-сессий включает проверку управления cookies, правильности реализации аутентификации, валидации токенов сессии и логирования. Также проверяется использование HTTPS, версия протокола (HTTP/2 предпочтительнее), наличие CORS-политики и правильность её настройки для предотвращения несанкционированного доступа к ресурсам.
Демонстрация уязвимостей
После выявления уязвимостей в безопасной среде проводится демонстрация (exploitation) для подтверждения их реальности и оценки влияния. Это отличает пентест от простого сканирования уязвимостей. Демонстрация должна быть минимально инвазивной и не причинять вред системе, а лишь доказывать возможность атаки.
Для каждой критической уязвимости разработчикам предоставляется пошаговое описание воспроизведения проблемы, что позволяет им правильно исправить корневую причину. Тестировщик документирует все действия, выполненные при демонстрации, для обеспечения прозрачности процесса и возможности повтора исправлений.
Документирование результатов
Качественный отчет о пентесте включает резюме выявленных уязвимостей, их классификацию по критичности, описание каждой проблемы с деталями техники атаки и её воздействия. Отчет должен содержать рекомендации по исправлению, включая ссылки на официальные руководства и лучшие практики от организаций, таких как OWASP.
В отчете должны быть указаны метрики тестирования: охват приложений, тестируемые компоненты, использованные методологии и инструменты. Результаты следует организовать логически, с разделением по типам уязвимостей и их влиянию на безопасность. Рекомендуется предоставить как техническое резюме для разработчиков, так и управленческий отчет для руководства.
Проверка исправлений и переподтверждение
После получения отчета организация начинает работу по исправлению выявленных уязвимостей. Пентестер должен сотрудничать с командой разработки для подтверждения правильности исправлений. На этом этапе проводится переподтверждение (re-testing), при котором повторно проверяются ранее найденные уязвимости.
Важно убедиться, что исправления не только закрывают конкретную уязвимость, но и устраняют её корневую причину, предотвращая появление аналогичных проблем в других частях приложения. Итоговый отчет о переподтверждении должен содержать статус каждой уязвимости и свидетельства её устранения.