01
Активы
Домены, адреса, приложения, сегменты сети, облачные аккаунты — что входит и что прямо исключено.
Методология
Методология контролируемой проверки
Дисциплинированный, контролируемый и доказательный подход — без обещаний за пределами согласованного объёма работ.
Любая активность атакующего характера начинается только после письменной авторизации, согласованных правил и границ.
ПРИНЦИП
Скальпель, а не кувалда
Точность и контроль важнее эффектности. Один и тот же инструментарий в руках двух команд даёт несопоставимые результаты — разницу создаёт дисциплина процесса.
- Граница делает выводы осмысленными
- Валидация вместо ложных срабатываний
- Приоритеты вместо «ста пунктов критично»
Опираемся на признанные рамки
OWASP WSTGOWASP ASVSOWASP API SecurityNIST SP 800-115MITRE ATT&CK
01 — Зачем нужна методология
Разница между полезной оценкой и дорогим списком тревожных слов — это дисциплина процесса
Без согласованной границы проверка задевает чужие системы. Без валидации отчёт наполняется ложными срабатываниями. Без приоритизации заказчик получает сто пунктов «критично» и ни одного ответа, с чего начать.
Наша методология построена на признанных рамках и на принципе, который мы формулируем как «скальпель, а не кувалда».
Что даёт дисциплина
Отчёт отвечает за то, что проверялось, и честно говорит, что осталось за рамками. Выводы имеют смысл только относительно согласованного объёма и момента проведения.
02 — Объём работ и правила взаимодействия
Граница, которая делает выводы осмысленными
До первого технического действия письменно фиксируется объём, а правила взаимодействия дополняют авторизацию практикой эскалации, уведомлений и обращения с материалами.
02
Окно и методы
Временное окно активных проверок и ограничения: что разрешено, что согласуется, что запрещено.
03
Роли и стоп-канал
Контакты с обеих сторон и канал экстренной связи, по которому работы можно остановить немедленно.
04
Активы третьих лиц
Хостинг, SaaS и партнёрские интеграции не становятся целью только потому, что связаны с вами.
Письменная авторизация — не формальность
Ни один пентест, фишинговое упражнение или другая активность атакующего характера не начинается без письменной авторизации владельца систем. Это требование законодательства Армении: неправомерный доступ к компьютерной системе — уголовно наказуемое деяние (УК РА ст. 359, 363). Данные клиента принадлежат клиенту: не используются в демонстрациях, не передаются третьим лицам, не хранятся дольше необходимого.
03 — Режимы исполнения
Чёрный, серый и белый ящик — режимы одной услуги, а не разные продукты
Выбор режима — это ответ на вопрос, какой сценарий вы хотите проверить.
MODE_01
Чёрный ящик
Моделирование внешнего атакующего без знаний о системе: что реально видно и достижимо «с улицы».
MODE_02
Серый ящик · рекомендуем
Ограниченные знания или тестовые учётные записи: за то же время проверка проходит глубже, за точку входа.
MODE_03
Белый ящик
Максимальный контекст об инфраструктуре: максимальное покрытие за минимальное время, когда цель — полнота.
ОСЬ
Аутентифицированное тестирование
«Снаружи без прав» — вопрос о случайном атакующем. С валидными учётными записями — о недобросовестном пользователе или украденном пароле. Для личных кабинетов вторая часть обычно важнее.
ОСЬ
Допущенная компрометация
Периметр уже преодолён: возможна ли эскалация привилегий, как быстро атакующий доберётся до критичных систем, заметят ли его средства обнаружения. Всегда — в согласованных границах и с оговорённой стартовой точкой.
04 — Ограничения боевой среды и контроль воздействия
Критичная среда усиливает дисциплину, а не отменяет её
Проверки с риском отказа в обслуживании или порчи данных либо исключаются, либо выполняются только на копиях и стендах, либо согласуются отдельным пунктом с точным описанием воздействия.
Мы не «ломаем боевую среду», чтобы доказать точку зрения: доказательство строится минимально достаточным воздействием.
Исключить рискованные проверкиВыполнить на копиях и стендахСогласовать отдельным пунктом с описанием воздействия
05 — Полный конвейер проверки
От согласования объёма до повторной проверки
Автоматизация ускоряет обследование, но не заменяет суждение. Каждая значимая находка проходит ручную валидацию до отчёта — а не перекладывается на команду клиента. Ложные срабатывания отсекаются заранее: в отчёте нет формулировок «возможно, уязвимость существует», есть подтверждённые факты и явно помеченные ограничения проверки.
01
Определение объёма
Активы, окно, методы, роли.
02
Правила и авторизация
Письменное разрешение и правила взаимодействия.
03
Тестирование
Выбранный режим и глубина.
04
Валидация
Ручное воспроизведение, доказательства.
05
Отчётность
Два уровня: управленческий и технический.
06
Устранение
Поддержка устранения, приоритеты.
07
Повторная проверка
«Проблемы закрыты и это подтверждено».
06 — Отчётность: два уровня, одна картина
Управленческий и технический слои
Управленческий слой
Где реальный риск, что это значит для бизнеса и в каком порядке действовать. Написан так, чтобы вынести на совет директоров или к партнёру без дополнительного перевода.
Технический слой
Описание, доказательства, затронутые активы, сценарии атак и конкретные рекомендации для вашей инфраструктуры, а не «обновите всё».
07 — Источники
Методология опирается на признанные международные рамки тестирования и оценки безопасности.
Границы
Любой обзор готовности, оценка, пентест или обзор архитектуры проводится только в согласованном объёме и в соответствии с правилами взаимодействия. Выводы и рекомендации относятся к согласованному объёму проверки и моменту её проведения.
Обсудить формат проверки под вашу задачу
Начнём с определения объёма работ и правил взаимодействия. Дальше — режим, глубина и порядок работ под ваш риск.