Тестирование на проникновение (пентест) — проверьте, насколько далеко сможет зайти злоумышленник

Пентест — это контролируемая проверка защищённости вашего бизнеса. Мы моделируем действия реального хакера, чтобы выяснить, сможет ли он взломать ваш сайт, VPN, веб-приложение или проникнуть во внутреннюю сеть. Результат — не просто список уязвимостей, а готовый сценарий атаки и план защиты.

Услуги пентеста позволяют посмотреть на ресурсы компании глазами злоумышленника и понять:

какие слабые места он обнаружит;
сможет ли воспользоваться найденной уязвимостью;
сможет ли получить доступ к корпоративным системам;
остановится ли атака на внешнем сервисе или пойдёт дальше.

Результат для руководителя: «Какой реальный сценарий кибератаки возможен против нашей компании и что исправлять в первую очередь?»

✅ Лицензия ФСТЭК России (пункты «б» и «е»)
✅ Соблюдаем Методику ФСТЭК №1085 от 25.06.2025
✅ Собственная ABRIKOS Labs для пилотирования

Оставить заявку Рассчитать стоимость

Зачем компании проводить пентест?

Информационная безопасность — это не просто установка антивируса и межсетевого экрана. Ежедневно компании сталкиваются с атаками, которые начинаются с безобидного на первый взгляд внешнего сервиса: старой версии VPN, необновлённого веб-приложения или административной панели с простым паролем.

Тестирование на проникновение — это контролируемая проверка того, насколько реально злоумышленник может использовать уязвимости информационных систем компании.

В отличие от обычного автоматического сканирования, пентест позволяет определить практическую опасность недостатков для бизнеса.

Что получает руководство компании:

понимание наиболее опасных сценариев атаки;
перечень уязвимых внешних ресурсов;
оценку того, какие недостатки действительно могут привести к компрометации;
приоритеты устранения проблем и рекомендации для ИТ- и ИБ-подразделений.

Важно: Пентест не гарантирует обнаружения всех уязвимостей. Отсутствие успешного проникновения — тоже результат, подтверждающий защищённость.

ВЫБЕРИТЕ УРОВЕНЬ ПРОВЕРКИ ПОД ВАШИ ЗАДАЧИ

Мы предлагаем три пакета тестирования на проникновение. Каждый следующий включает все работы предыдущего и добавляет новый уровень глубины.

Пакет 1. Анализ внешнего периметра (без эксплуатации)

Цель: Определить, какие ресурсы доступны из Интернета и какие потенциальные уязвимости может обнаружить внешний нарушитель.

Что входит:

OSINT-разведка (домены, поддомены, DNS, сертификаты, технологии)
Активное картирование (порты, протоколы, версии сервисов)
Сканирование уязвимостей и ручная верификация
Проверка конфигураций и криптографических проблем

Результат: Карта внешних ресурсов, перечень уязвимостей, оценка критичности, рекомендации.

Подробнее о Пакете 1

Пакет 2. Анализ с контролируемой эксплуатацией

Цель: Подтвердить, могут ли найденные уязвимости быть использованы для получения первоначального доступа.

Что входит (дополнительно к Пакету 1):

Ручное тестирование авторизации, ролей, сессий, MFA, API
Контролируемая эксплуатация уязвимостей
Подтверждение входа в систему, выполнения команды, доступа к API
Оценка риска (CVSS) и приоритизация

Результат: Пошаговый сценарий атаки, доказательства, критичность, рекомендации.

Подробнее о Пакете 2

Пакет 3. Эксплуатация и выход из DMZ

Цель: Проверить, сможет ли нарушитель после компрометации внешнего ресурса проникнуть во внутреннюю сеть.

Что входит (дополнительно к Пакету 2):

Компрометация внешнего ресурса, создание точки присутствия
Анализ DMZ (интерфейсы, маршруты, межсетевое экранирование)
Попытка горизонтального перемещения во внутреннюю сеть
Ограниченная постэксплуатация (конфигурации, учётные данные)

Результат: Карта цепочки атаки, оценка сегментации, рекомендации по сетевой архитектуре.

Подробнее о Пакете 3

Таблица выбора пакета по задаче


	Задача бизнеса	Рекомендуемый пакет
	Понять, какие системы компании видны из Интернета	Пакет 1
	Найти внешние уязвимости и ошибки конфигурации	Пакет 1
	Проверить VPN, RDP или веб-сервисы без проникновения	Пакет 1
	Понять, можно ли реально воспользоваться уязвимостями	Пакет 2
	Подтвердить возможность первоначального доступа	Пакет 2
	Проверить, может ли взлом внешней системы привести к дальнейшему развитию атаки	Пакет 3
	Полностью проверить внутреннюю сеть или Active Directory	Внутренний пентест (отдельная услуга)
	Проверить защищённость веб-приложения или API с бизнес-логикой	Web/API-пентест (отдельная услуга)

Дополнительные виды пентеста

Web / API-пентест
Для чего: проверка веб-приложений и API с развитой бизнес-логикой.
Что проверяем: аутентификацию, авторизацию, сессии, MFA, IDOR, SQL-инъекции, XSS, SSRF, XXE, загрузку файлов, бизнес-логику.
Срок: от 12 часов до 2–4 недель (зависит от сложности).

Внутренний пентест
Для чего: проверка внутренней инфраструктуры, Active Directory, сегментации.
Что делаем: инвентаризация узлов, анализ AD, повышение привилегий, горизонтальное перемещение.
Срок: от 2 до 6 недель.

Социальная инженерия
Для чего: проверка сотрудников на устойчивость к фишингу, вишингу, СМС-атакам.
Что оцениваем: переходы по ссылкам, ввод данных, скорость реакции ИТ/ИБ.
Срок: от 1 до 5 недель.

Как мы проводим пентест: методология и форматы

Область проверки (внешний периметр)

публичные IP-адреса, домены, поддомены;
веб-приложения, API;
VPN, RDP, VDI, SSH;
почтовые системы, webmail, SSO;
административные панели, облачные сервисы;
пограничное сетевое оборудование.

Важно: Количество IP не определяет сложность — важен состав сервисов (один IP может содержать несколько приложений с API и авторизацией).

Форматы тестирования (Black / Grey / White box)


Формат	Исходная информация	Особенность
Black box	Название компании, IP, домены, разрешение на работы	Максимально приближен к внешнему нарушителю
Grey box	Учётная запись, тестовый аккаунт, VPN, документация API	Глубже исследует отдельные механизмы
White box	Архитектурные схемы, конфигурации, исходный код, админ-доступ	Самая полная проверка

Наличие административной учётной записи само по себе не делает тест White box — важна полнота информации.

Что влияет на сроки

количество и сложность сервисов;
домены, поддомены;
наличие VPN, RDP, VDI, SSO;
API, роли, MFA;
бизнес-логика веб-приложений;
DMZ-сегменты, сетевые маршруты;
средства защиты (WAF);
ограничения по времени и согласованиям.

Результат услуги (модель рисков)

Актив → уязвимость → способ эксплуатации → получаемый доступ → возможное развитие атаки → влияние на бизнес → рекомендации.

Возможности и границы пентеста


	Специалист может	Пентест не гарантирует
	Найти внешние активы и сервисы	Обнаружение всех уязвимостей
	Обнаружить известные уязвимости	Успешное проникновение
	Проверить аутентификацию, веб-приложения, API	Обязательный выход из DMZ
	Контролируемо эксплуатировать уязвимости	Отсутствие неизвестных уязвимостей
	Подтвердить первоначальный доступ	Абсолютную защищённость

Почему бизнес доверяет нам проведение пентеста

Лицензии ФСТЭК и ФСБ — обязательны для пентеста госорганов, КИИ, 152-ФЗ.

Работаем по Методике ФСТЭК №1085 от 25.06.2025 — отчёты соответствуют актуальным требованиям.

Партнёрство с Positive Technologies и Лабораторией Касперского — доступ к актуальным базам уязвимостей.

Собственная ABRIKOS Labs — отработка сценариев атак в контролируемой среде.

Опыт с госорганами, промышленностью и банками — понимаем отраслевые требования. Работаем по всей России.

Ответы на частые вопросы

Чем пентест отличается от аудита безопасности?

Сканирование находит потенциальные уязвимости (CVE). Аудит проверяет соответствие требованиям. Пентест проверяет,
можно ли реально использовать
уязвимости для проникновения — это практическая проверка.

Какова стоимость пентеста?

Цена зависит от объёма и глубины проверки. Мы рассчитываем точную стоимость после анализа вашего периметра — оставьте заявку, и мы сделаем расчёт за 1 день.

Что будет, если вы не найдёте критических уязвимостей?

Это хороший результат — значит, ваша защита работает. Вы получите карту активов и рекомендации по поддержанию безопасности.

Не нарушит ли пентест работу моих систем?

Все действия согласованы по времени и объёму. Мы не проводим DoS, не изменяем данные, не выгружаем критичную информацию. При срабатывании SOC мы готовы остановиться.

Какие данные будут в отчёте?

Карта активов, список уязвимостей с CVSS, пошаговые сценарии воспроизведения (для Пакетов 2–3), доказательства (скриншоты), приоритетные рекомендации, для Пакета 3 — цепочка атаки и оценка сегментации.

Можете ли вы провести пентест для госоргана или КИИ?

Да, у нас есть лицензия ФСТЭК, работаем по новой Методике, в том числе для объектов КИИ и организаций, подпадающих под 152-ФЗ.

Какой формат тестирования выбрать (Black/Grey/White box)?

Black box — максимально приближен к атаке снаружи. Grey box — позволяет глубже проверить отдельные компоненты, если у вас есть тестовые данные. White box — самая глубокая проверка при наличии полной документации и кода.

Работаете ли вы в других городах?

Да, мы проводим пентест удалённо или с выездом на площадку заказчика по всей России — от Калининграда до Владивостока.

Готовы проверить защищённость вашей компании?

Оставьте заявку, и мы:

бесплатно проанализируем ваш внешний периметр (прескрининг);
поможем выбрать подходящий пакет услуг пентеста;
рассчитаем точную стоимость пентеста и сроки;
предоставим КП за 1 рабочий день.