1. Основы пентестинга: терминология, правовые нормы и виды тестирования (Black/White/Gray Box)
Основы пентестинга: терминология, правовые нормы и виды тестирования (Black/White/Gray Box)
Добро пожаловать в курс «Этичный хакинг и пентестинг». Это первая статья, в которой мы заложим фундамент для всей дальнейшей работы. Прежде чем запускать сканеры уязвимостей или писать эксплойты, необходимо четко понимать, кто такой пентестер, чем он отличается от преступника и по каким правилам ведется игра.
Что такое пентестинг и этичный хакинг?
Тестирование на проникновение (Pentesting) — это санкционированная имитация кибератаки на компьютерную систему, сеть или веб-приложение для оценки безопасности системы.
Главное отличие пентестера от злоумышленника — это цель и законность. Злоумышленник ищет уязвимости для кражи данных, шантажа или разрушения инфраструктуры. Пентестер ищет те же самые уязвимости, чтобы закрыть их до того, как ими воспользуются преступники.
Согласно Guru99, анализ проникновения опирается на два механизма: оценку уязвимостей и непосредственно тестирование на проникновение (VAPT).
Ключевая терминология
Чтобы говорить на одном языке с профессиональным сообществом, разберем базовые понятия:
* Уязвимость (Vulnerability) — недостаток в системе, коде или настройках, который может быть использован для нарушения политики безопасности. Это «дыра» в защите. * Эксплойт (Exploit) — программный код или последовательность команд, использующая уязвимость для проведения атаки. * Пейлоад (Payload) — полезная нагрузка. Это код, который выполняется в системе после успешной эксплуатации уязвимости (например, запуск командной строки или выгрузка базы данных). * Zero-day (Уязвимость нулевого дня) — уязвимость, о которой еще не знает разработчик программного обеспечения, и для которой не существует официального исправления (патча).
Цветовая дифференциация хакеров
В индустрии принято делить специалистов по их мотивам и методам:
> Пентестеры относятся к категории White Hat. Совмещая навыки программиста и специалиста по кибербезопасности, они выполняют задачи по обнаружению уязвимостей и проверке защитных механизмов. > > Habr
Правовые нормы: грань между работой и тюрьмой
Самый важный инструмент пентестера — это не ноутбук с Kali Linux, а договор. Без письменного разрешения владельца системы любые активные действия по поиску уязвимостей являются уголовным преступлением.
В Российской Федерации деятельность в сфере компьютерной безопасности регулируется Уголовным кодексом (УК РФ). Основные статьи, о которых вы обязаны знать:
* Статья 272 УК РФ: Неправомерный доступ к компьютерной информации. * Статья 273 УК РФ: Создание, использование и распространение вредоносных компьютерных программ. * Статья 274 УК РФ: Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации.
Золотое правило: Никогда не проводите тестирование систем, если у вас нет подписанного документа (Scope of Work / NDA), в котором четко прописаны:
Виды тестирования: Black, White и Gray Box
Методология проведения пентеста зависит от того, сколько информации о целевой системе есть у атакующего на старте.
1. Black Box (Черный ящик)
В этом сценарии пентестер находится в положении реального внешнего хакера. У него нет никакой информации о внутренней структуре системы, исходном коде или учетных данных. Известно только название компании или адрес сайта.
Особенности: * Максимальная реалистичность имитации внешней атаки. * Требует много времени на разведку (OSINT). * Высокий риск пропустить уязвимости, которые не видны «снаружи».
> Черный ящик — это игра вслепую. Пентестер имитирует действия внешнего злоумышленника, который ничего не знает об инфраструктуре компании и ее сервисах. > > Habr (Бастион)
2. White Box (Белый ящик)
Полная противоположность черному ящику. Пентестеру предоставляется полный доступ: исходный код приложений, схемы сети, документация, права администратора. Часто этот процесс называют аудитом безопасности или анализом кода.
Особенности: * Самый тщательный вид проверки. * Позволяет найти логические ошибки и скрытые бэкдоры в коде. * Не имитирует реальную внешнюю атаку, так как у хакеров редко есть такой уровень доступа.
3. Gray Box (Серый ящик)
Золотая середина и самый популярный вид коммерческого пентестинга. Специалисту предоставляются частичные данные, например, учетная запись обычного пользователя системы, но без прав администратора и доступа к исходному коду.
Особенности: * Имитирует атаку инсайдера (нелояльного сотрудника) или хакера, который уже украл чей-то пароль. * Позволяет проверить разделение прав доступа (IDOR, Privilege Escalation). * Экономит время на начальную разведку, позволяя сосредоточиться на поиске сложных уязвимостей.
Оценка рисков: математика безопасности
После того как уязвимость найдена, пентестер должен оценить её критичность. Не все «дыры» одинаково опасны. Для базовой оценки риска часто используется следующая логика, которую можно выразить формулой:
Где: * — итоговый уровень риска (например, Низкий, Средний, Высокий, Критический). * — вероятность эксплуатации уязвимости. Зависит от сложности атаки и доступности эксплойта. * — влияние на бизнес. Какой ущерб будет нанесен, если уязвимость используют (потеря денег, утечка данных, остановка сервиса).
Пример расчета: Представим, что мы нашли SQL-инъекцию на сайте.
Если же мы нашли раскрытие версии веб-сервера (информационная уязвимость):
Этапы пентестинга
Любой профессиональный тест на проникновение, независимо от выбранного «ящика», проходит по стандартизированному циклу. Согласно Cyber-ed, специалисты учатся проводить тестирование от разведки до отчёта. Обычно выделяют следующие этапы:
Итоги
* Этичный хакинг отличается от преступления наличием официального разрешения (договора) и целью — улучшить защиту, а не нанести вред. * White Box дает полный доступ к системе для глубокого аудита, Black Box имитирует реальную атаку вслепую, а Gray Box проверяет систему от лица обычного пользователя. * Без письменного согласия владельца системы любые попытки поиска уязвимостей незаконны и подпадают под статьи УК РФ (272-274). * Оценка риска строится на произведении вероятности взлома на потенциальный ущерб для бизнеса.