«Черный», «серый» или «белый» ящик: как выбрать пентест под реальные риски

Пентест — проверка на проникновение в инфраструктуру, которая моделирует реальные кибератаки. Она показывает, где система может быть скомпрометирована, но не дает защиты сама по себе. Реальную пользу такое тестирование приносит только когда найденные уязвимости устраняют и встраивают работу с ними в процессы. Дмитрий Калинин, руководитель департамента по работе с уязвимостями и инцидентами ИБ Бастион, специально для Cyber Media рассказал, какие методики существуют, какие риски покрывают и как заложить их в стратегию безопасности.

Зачем нужны пентесты

Пентест помогает оценить, какие слабые места в системе компании могут быть использованы злоумышленниками — от уязвимостей во внешних сервисах до ошибок в бизнес-логике при построении модели защиты. Аттестация по требованиям ФСТЭК, сертификация по ISO и другие документы фиксируют формальное соответствие требованиям, но не заменяют практическую проверку устойчивости к реальным атакам.

Тестирование на проникновение остро необходимо тогда, когда компания использует несколько серверов, хранит или обрабатывает критичные данные, подключает к работе подрядчиков и внешние сервисы. В таких условиях стабильность и безопасность бизнеса напрямую зависит от устойчивости ИТ-систем к атакам. Важно понимать, что отчет о проверке защищенности — это перечень обнаруженных уязвимостей и рекомендаций по их устранению. Он помогает сосредоточить внимание на критически важных участках, требующих исправлений и дальнейшей верификации.

Методики пентеста: как работают black, gray и white box

Методики различаются объемом исходных данных и набором воспроизводимых сценариев. В формате «черного ящика» пентестер действует вслепую: в его распоряжении оказываются только публичные данные о компании. Работа специалиста начинается со сбора открытой информации, затем переходит к сканированию периметра, уточнению версий ПО и ручному тестированию точек входа. Цель этой работы — найти и эксплуатировать уязвимости внешних интерфейсов, ошибки в настройках систем и сервисы, доступные из интернета. Преимущество — реалистичная проработка сценариев, когда угрозы приходят извне.

В формате «серый ящик» пентестер имеет доступ к частичной информации и выданной учетной записи с ограниченными полномочиями. Внимание уделяется системе распределения пользовательских прав: специалист оценивает возможность эскалации привилегий и перемещения по сети, уязвимости API и ошибки бизнес-логики. Проверка на проникновение дополняется схемами сети, описаниями архитектуры и списком эндпоинтов, а иногда и «историей болезни» от ИБ-специалистов. Метод дает прицельные результаты, но требует времени и вовлеченности ИБ-службы компании. Например, предоставления учетных записей и документации, заполнения вводных опросников и назначения сотрудников для коммуникации и согласования хода работ.

Формат «белого ящика» предполагает полный доступ к исходникам, архитектуре и CI/CD-пайплайнам. Пентестер проводит аудит кода и конфигураций, применяет SAST и ручное исследование бизнес-логики приложений. Такой тест выявляет внутренние дефекты — логические пробелы, крипто-ошибки, отсутствие логирования и недочеты в политике доступа — и позволяет сформулировать точечные рекомендации, вплоть до указания ошибочных строк в исходном коде приложений. Минусы — метод довольно трудоемкий и дорогостоящий.

На практике эти подходы редко используются в чистом виде: их комбинируют в зависимости от целей и хода проверки. Часто процесс начинается с внешнего этапа и при успешном проникновении трансформируется в «серый» или «белый ящик». Другой распространенный путь — параллельный запуск разных форматов для оценки защищенности систем снаружи и изнутри.

Как выбрать методику под реальные угрозы

Выбор методики начинается с формулировки реалистичных сценариев атак: внешняя компрометация сервиса, инсайдерская угроза или, например, фишинговая кампания. Каждый сценарий связан с конкретными активами: публичные сервисы и наружные интерфейсы логично проверять в варианте «черного ящика» или в комбинированном «черно-сером» формате. Внутренние приложения, админ-панели и API уместно тестировать в формате «серого» ящика с фокусом на ролевую модель и эскалацию привилегий. Критичная логика, код и архитектура подлежат «белому» аудиту.

Также важно учитывать требования отрасли. Например, для финансового сектора часто необходим глубокий «белый» анализ систем. Он позволяет корректно выполнять требования регуляторов. Кроме того, важен баланс времени и бюджета — «серый ящик» часто оказывается компромиссом по соотношению «цена/польза».

Как подготовить инфраструктуру и процессы к пентесту

Первое, что требуется для проверки — предоставить исходные данные. В формате «черного ящика» достаточно названия компании или ограниченного списка адресов и ASN. При «сером» подходе к этой информации добавляются учетные записи с определенными правами и документация.

Для тестирования по сценарию «белого ящика», как правило передаются исходные коды приложения или полный административный доступ к ИТ-системе.

Еще до начала тестирования необходимо согласовать детали процесса, включая технические ограничения и перечень систем, исключенных из области тестирования. Важно заранее обсудить с пентестерами требования к логированию и взаимодействию с SOC, чтобы не менять условия в середине процесса: такие изменения серьезно замедляют работу. В ходе тестирования по методике «черного ящика» взаимодействие с заказчиком сводится к проверке состояния инфраструктуры. Эксперты уточняют, не влияет ли имитация атаки на стабильность сервисов: если нагрузка на инфраструктуру растет, интенсивность компрометации снижают. По запросу ИБ-службы контрагента команда может предоставить отметки своей активности, чтобы отличать испытания от реальной угрозы.

Типичные ошибки при заказе пентеста, и как их избежать

Часто компании ограничиваются формальной проверкой, полагая, что ее достаточно для защиты от угроз. На самом деле ценность пентеста проявляется только тогда, когда найденные проблемы исправляются, а рекомендованные пентестерами изменения внедряются в инфраструктуру.

Трудности возникают и при выборе формата. Зрелый бизнес понимает, какой режим тестирования ему нужен. Если же ИБ-процессы на месте не выстроены, необходима вводная встреча: только после нее можно осознанно выбрать один или комбинацию из нескольких подходов. Отдельный риск — регулярное тестирование инфраструктуры одной командой из года в год. В случае с «черным ящиком» взгляд «замыливается», уязвимости остаются незамеченными, а отчет получается необъективным. Чтобы минимизировать эти риски, в Бастионе практикуют перекрестную проверку результатов разными специалистами. Такой подход позволяет взглянуть на систему под разными углами и повысить точность итогового анализа, сохранив объективность оценки.

Кроме того, организации нередко пытаются вмешиваться в работу пентестеров, как будто отражают реальную атаку. Такое противодействие уместно только в формате Red/Purple Team, где одна группа имитирует действия злоумышленников, а другая в реальном времени отрабатывает защиту.

Перед пентестом стоит проверить, что информация об инфраструктуре актуальна: забытые домены, исходники или сервисы контрагентов часто становятся неожиданностью для пентестеров и искажают результаты. Экспресс-аудит инфраструктуры позволит обеспечить полноту описания поверхности атаки и учесть все потенциальные точки доступа.

Как встроить пентест в стратегию ИБ

Чтобы проверка на проникновение стала полноценной частью стратегии ИБ, ее нужно проводить регулярно. Частота зависит от отрасли, масштаба ИТ-системы и требований регуляторов. Обычно разумный интервал для оценки — около одного квартала. Регулярное тестирование позволяет отслеживать динамику уязвимостей и избегать ситуации, когда отчет устаревает сразу после релиза новой функциональности или изменения инфраструктуры.

Тесты на проникновение стоит планировать вместе с другими процессами ИБ: крупными обновлениями, интеграциями с подрядчиками или изменениями критичных сервисов.

Подходы можно и нужно грамотно комбинировать. Часто работа начинается с анализа периметра — «черного ящика». Если удается получить доступ во внутреннюю сеть, формат переходит в «серый» сценарий. При получении исходного кода или привилегированных прав проверка трансформируется в «белый» метод.