Пентест і аудит

Як підготуватися до пентесту, щоб не переплатити

Пʼять речей, які роблять до старту і які економлять дні роботи.

3 хв читання

Пентест оплачується за час. Чим точніше визначені межі й чим швидше ми отримуємо доступи, тим більше годин іде на пошук, а не на організацію.

Визначте межі: які домени, застосунки, мережі входять, а які ні. Продакшн чи стейджинг.
Підготуйте доступи заздалегідь: тестові облікові записи різних ролей, VPN, документація API.
Попередьте команду і хостинг: щоб захист не заблокував нас на першій годині, а адміни не почали «гасити пожежу».
Зробіть бекап і перевірте, що він відновлюється. Ми обережні, але це правило для будь-яких робіт.
Призначте одну контактну особу, яка може швидко відповідати на питання під час робіт.

Що не потрібно

Виправляти все відоме перед пентестом «щоб не соромно». Навпаки: ми побачимо реальний стан і допоможемо розставити пріоритети.

Сканер знаходить відомі дірки за списком. Пентестер думає, як атакуючий, і поєднує дрібниці в реальний злам.

Кожен тип перевіряє свій шар. Разом вони дають картину, окремо лише фрагмент.