Подтверждённые находки
Только то, что валидировано вручную — без гипотез сканера и строк «возможно, уязвимо».
Услуга · Внешний пентест
Что реально возможно против вас снаружи
Контролируемая проверка публичной поверхности атаки и подтверждение критичных внешних находок — не гипотетически, а на основании воспроизводимых доказательств.
Ни одно действие атакующего характера не начинается без письменной авторизации и согласованных правил взаимодействия (объём работ и правила взаимодействия). Сайт статичен и не принимает учётные данные.
ХОД_РАБОТЫ
Жизненный цикл проверки
Дисциплинированная процедура, а не разовый скан.
- 01 Авторизация
- 02 Определение объёма работ
- 03 Окно тестирования
- 04 Валидация находок
- 05 Отчётность и повторная проверка
Когда нужна
Когда нужно понять, как внешний атакующий может использовать вашу публичную поверхность атаки.
Объём
Периметр в согласованных границах: разведка по открытым источникам, сетевые сервисы, Web и API, инфраструктура доверия.
Стандарты
NIST 800-115OWASP WSTGMITRE ATT&CK
Режимы
Чёрный, серый и белый ящик — режимы исполнения одной услуги, не разные продукты.
01 — Почему внешний периметр — первая точка риска
Витрина целей, доступная из любой точки мира
Публичные сервисы доступны всем и постоянно: клиентские кабинеты, серверные интерфейсы мобильных приложений, точки удалённого доступа, интеграции с партнёрами. Всё это работает круглосуточно и видно любому желающему.
Периметр растёт органически и почти никогда не инвентаризируется целиком: забытый тестовый стенд или сервис от закрытого проекта продолжает отвечать на запросы.
Корень риска
Атакующему достаточно одной работающей точки входа, а защите нужно закрыть все — поэтому важно знать периметр целиком, а не выборочно.
02 — Что именно оценивается
Публичная поверхность атаки в согласованных границах
Каркас процесса соответствует NIST SP 800-115: планирование, обследование, проверка, документирование. Раскройте область, чтобы увидеть, что в неё входит.
Какие домены, поддомены, IP-диапазоны, сервисы и технологии видны снаружи; какие учётные данные, секреты или внутренние документы уже утекли в открытые источники.
MITRE ATT&CK · Reconnaissance
03 — Как проходит работа
Пять этапов контролируемой процедуры
01 · Авторизация и правила взаимодействия
Фиксируются правила взаимодействия, ограничения на методы, канал экстренной связи и правила обращения с активами третьих лиц. Это требование не только методологии, но и закона: «тестирование без формальностей» подпадает под ст. 359 и 363 УК РА.
Режим исполнения
В чёрном ящике мы моделируем внешнего атакующего без каких-либо знаний о системе — так проверяется, что реально видно и достижимо «с улицы».
Режимы исполнения — не разные продукты. Выбор определяется целью проверки и бюджетом времени, а не маркетингом.
04 — Типичные классы находок
Что находим и что это значит для бизнеса
Конкретный список зависит от инфраструктуры, но чаще всего встречаются следующие классы. По каждому отчёт объясняет, при каких условиях он опасен и какой бизнес-сценарий за ним стоит.
F1 Устаревшие сервисы на периметре. Известные уязвимости — самый дешёвый путь внутрь; вопрос не «если», а «когда». ВЫС
F2 Админ-интерфейсы из интернета. Панели, базы данных, мониторинг без сетевых ограничений — одна слабая учётная запись превращается в полную компрометацию сервиса. ВЫС
F3 Слабая аутентификация удалённого доступа. Отсутствие второго фактора, повторно используемые пароли — часто уже в публичных базах утечек. ВЫС
F4 Недостатки контроля доступа в Web и API. Возможность читать или изменять чужие данные — прямой риск утечки и регуляторных последствий. ВЫС
F5 Ошибки конфигурации TLS и почты. Открывают сценарии перехвата и убедительного фишинга от имени компании. СРЕД
F6 Утечки секретов и служебной информации. Ключи и токены в публичных репозиториях дают легитимный доступ без единой «взломанной» системы. СРЕД
05 — Что вы получаете
Не список уязвимостей, а приоритизированная картина
Результат пентеста — доказательная база и дорожная карта, которую можно предъявить руководству, аудитору или партнёру.
Сценарии путей атаки
Как отдельные слабости складываются в реальный путь атакующего к данным и функциям.
Приоритеты устранения
Что закрыть немедленно, что — в ближайший цикл, а что является системной работой.
06 — Устранение и повторная проверка
Дорожная карта под реальный бюджет и команду
Немедленно
Единичные критичные точки, закрывающие целые сценарии атаки. Быстрый эффект при малых усилиях.
Ближайший цикл
Изменения, которые войдут в ближайший цикл разработки и конфигурации инфраструктуры.
Системная работа
Процессы, которые не дают классу проблем воспроизводиться. Подтверждается повторной проверкой после исправлений.
07 — Регуляторный контекст и источники
В Армении действует закон «О кибербезопасности» (в силе с января 2026 года), а защита персональных данных подкреплена правоприменительной практикой. Для платёжных организаций и операторов электронных денег ЦБ РА прямо подчёркивает ожидания в области кибербезопасности и операционной устойчивости.
OWASP Web Security Testing Guide owasp.org ↗ OWASP Application Security Verification Standard owasp.org ↗ OWASP API Security Project owasp.org ↗ MITRE ATT&CK attack.mitre.org ↗ NIST SP 800-115 csrc.nist.gov ↗ Закон РА «О кибербезопасности» arlis.am ↗ Требования ЦБ РА к платёжным организациям cba.am ↗
Граница честности
Внешний пентест помогает подготовиться к проверкам и вопросам партнёров, но не является юридическим заключением и не заменяет оценку соответствия конкретным нормативным требованиям.
Объём работ и правила взаимодействия
Выводы и рекомендации относятся к согласованному объёму проверки и моменту её проведения. Любая активность атакующего характера требует письменной авторизации.
08 — Куда дальше
Узнать, что реально возможно против вас снаружи
Обсудим объём и границы работ. Работы ведутся только после письменной авторизации; доступы передаются вне сайта — сайт статичен и не принимает учётные данные.