Question 1

Что такое пентест?

Accepted Answer

Пентест (тестирование на проникновение) — это контролируемая имитация атаки на ваши системы, сети или приложения. Цель — найти реальные уязвимости раньше злоумышленника и передать подробный отчёт с найденными недостатками и рекомендациями по исправлению.

Question 2

В чём разница между пентестом и Red Team?

Accepted Answer

Пентест нацелен на поиск максимального числа уязвимостей в заданном объёме и в оговорённые сроки. Red Team моделирует полноценную реальную атаку, включая социальную инженерию, обход средств защиты и горизонтальное перемещение, проверяя не только технологии, но и процессы и людей.

Question 3

Тестируете ли вы прошивки и физические устройства?

Accepted Answer

Да, это наше основное направление. Работа идёт по OWASP FSTM: получение прошивки (через официальное обновление, извлечение по UART/JTAG/SPI или дамп памяти), анализ файловой системы, эмуляция для контролируемого запуска и анализ двоичных файлов. Для этого нужны образцы устройства — желательно несколько экземпляров, так как часть тестов разрушительна, — и любая доступная документация по аппаратной части.

Question 4

Когда нужен реверс-инжиниринг?

Accepted Answer

Когда нет исходного кода: двоичный файл поставщика, проприетарный протокол, устаревшее устройство без документации или артефакт, найденный при инциденте. Мы применяем статический и динамический анализ, отладку и инструментирование и передаём понимание формата или протокола, а при наличии эксплуатируемой уязвимости — proof of concept.

Question 5

Что вы оцениваете в криптографической реализации?

Accepted Answer

Выбор примитивов и режима работы, качество источника случайности, управление жизненным циклом ключей по NIST SP 800-57, хранение секретов и использование HSM, а также работа за постоянное время, когда этого требует сценарий. FIPS 140-3 — ориентир для вывода о состоятельности криптографического модуля.

Question 6

Нужно ли передавать исходный код?

Accepted Answer

Не обязательно. Мы работаем по методу чёрного ящика, если доступно только это. Но с доступом к коду результат глубже и обычно требует меньше времени, потому что не приходится часами домысливать то, что можно прочитать напрямую. Для проверки критического кода и криптографической реализации доступ необходим.

Question 7

Сколько длится проект?

Accepted Answer

Зависит от объёма и сложности. Пентест веб-приложения обычно занимает от 1 до 3 недель. Анализ прошивок и реверс-инжиниринг сильно зависят от объекта, поскольку часть времени уходит на понимание артефакта до начала тестирования. Операции Red Team обычно длятся от 4 до 8 недель. График определяется на этапе pre-engagement, до начала любых работ.

Question 8

Рискуют ли мои системы во время тестирования?

Accepted Answer

Нет. Мы работаем по заранее согласованным правилам взаимодействия, избегая действий, способных вызвать простой или потерю данных. Если нужны более агрессивные проверки, заранее согласуем окна обслуживания и процедуры отката.

Question 9

Какой отчёт я получу в итоге?

Accepted Answer

Мы передаём отчёт с executive summary для руководства и техническими подробностями для ИТ-команды. По каждой уязвимости — описание, доказательства, оценка риска (CVSS), последствия и рекомендации по устранению. Также предлагаем повторное тестирование после исправлений.

Question 10

Как вы обеспечиваете конфиденциальность?

Accepted Answer

Соглашение о неразглашении подписывается до любого обсуждения объёма работ. Данные клиента хранятся в контролируемой среде, разделённой по проектам, отчёт передаётся по защищённому каналу, а собранные материалы уничтожаются по истечении срока, оговорённого в договоре. Мы не используем имя клиента как коммерческую референцию без письменного разрешения.

Question 11

Кто выполняет проект?

Accepted Answer

Небольшая стабильная команда ведёт работу от начала до конца. Когда проект требует конкретной специализации или формальной сертификации, мы привлекаем сертифицированных специалистов под этот объём работ. Вы знаете состав проекта до его старта.

Question 12

С компаниями какого размера вы работаете?

Accepted Answer

Мы работаем и со стартапами, и с крупными корпорациями. Услуги предоставляются по запросу и адаптируются под реалии и уровень зрелости безопасности каждого клиента. Важна готовность компании защищать свои активы.

Question 13

Нужна ли собственная команда безопасности?

Accepted Answer

Нет. У многих наших клиентов нет выделенной команды безопасности. В таких случаях мы работаем напрямую с ИТ-командой и даём понятные указания, чтобы исправления были внедрены.

Question 14

Как проходит заключение договора?

Accepted Answer

Вы связываетесь с нами, мы согласуем объём и цели, определяем правила взаимодействия и оформляем договор. После выполнения работ передаём отчёт и назначаем встречу для презентации результатов.

Вопросы — частые вопросы о пентесте, прошивках и криптографии