Как стать пентестером (специалистом по тестированию на проникновение)

Пентестер (специалист по тестированию на проникновение) легально имитирует действия злоумышленника, чтобы найти уязвимости раньше, чем их найдут настоящие атакующие. Профессия востребована, но у неё есть важная оговорка: тестировать можно только то, на что есть разрешение, — иначе это уже преступление. Разберём, какой минимум знаний нужен, какие направления бывают, где практиковаться легально и как войти в профессию.

Кто такой пентестер и при чём здесь закон

Пентест — это санкционированное тестирование защищённости: оно проводится с письменного разрешения владельца системы (договор и техническое задание с определёнными границами — scope) либо в рамках правил платформы багбаунти, которые такое разрешение дают.

Без разрешения те же действия могут образовать составы преступлений — в зависимости от конкретных действий и последствий: неправомерный доступ к компьютерной информации (статья 272 УК РФ), создание, использование и распространение вредоносных программ (статья 273), нарушение правил эксплуатации средств хранения, обработки или передачи информации (статья 274), а при незаконном обороте компьютерной информации, содержащей персональные данные, — статья 272.1. Поэтому первое и главное правило профессии: никогда не тестировать чужие системы без явного разрешения. Этичность и юридическая чистота здесь — часть квалификации.

Минимальный набор знаний

• Сети. Стек TCP/IP, основные протоколы, маршрутизация, сканирование и разбор трафика.
• Операционные системы. Linux на уверенном уровне (командная строка, права, службы) и Windows, включая доменную инфраструктуру (Active Directory).
• Веб. Как устроены HTTP(S) и веб-приложения, типовые уязвимости из списка OWASP Top 10 (инъекции, межсайтовый скриптинг, недостатки аутентификации и контроля доступа).
• Скрипты и программирование. Python и Bash для автоматизации, умение читать чужой код.
• Базы данных и SQL. Понимание запросов и SQL-инъекций.
• Основы ИБИнформационная безопасность — Состояние защищённости информации и поддерживающей инфраструктуры от угроз.. Триада конфиденциальность — целостность — доступность, модель угроз и работа с уязвимостями и банками уязвимостей (БДУ, CVE).

Инструменты и методология

Инструментарий стандартный: специализированные дистрибутивы (Kali Linux и аналоги), сетевые сканеры (например, nmap), сканеры уязвимостей, перехватывающие прокси для веб-приложений, фреймворки эксплуатации, утилиты для работы с Active Directory. Но главное — не «нажимать кнопки», а понимать методологию: разведка, сканирование, эксплуатация, постэксплуатация и, наконец, отчёт. Умение внятно описать находки и дать рекомендации ценится не меньше, чем умение их найти.

Направления пентеста

• Веб-приложения и API — самое массовое направление, хороший старт для тех, кто пришёл из разработки.
• Сетевая инфраструктура и внутренний пентест (в том числе атаки на Active Directory) — близко сетевым и системным инженерам.
• Мобильные приложения.
• Социальная инженерия (фишинг и подобное) — только в согласованных границах.
• Red Team — комплексная имитация действий реального противника.
• АСУ ТП и промышленные системы — пересекается с защитой объектов КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ..

Где практиковаться легально

Навык нарабатывается только практикой, и для неё есть законные площадки:

• Домашняя лаборатория — виртуальные машины и специально уязвимые учебные образы на своём оборудовании.
• CTF (capture the flag) — соревнования по поиску уязвимостей в искусственных заданиях.
• Тренировочные киберполигоны и обучающие платформы.
• Программы багбаунти — российские площадки (например, BI.ZONE Bug Bounty и Standoff 365): вы тестируете реальные системы строго в рамках разрешения и границ, заданных платформой, и получаете вознаграждение за найденные уязвимости.

Сертификации и переподготовка

В пентесте многое решает практический опыт и портфолио (отчёты, результаты CTF и багбаунти). Международные сертификаты по тестированию на проникновение ценятся работодателями, но в России важна и нормативная сторона. Если планируете работать в защите информации или у лицензиата, пригодится профессиональная переподготовка по ИБ — по программе из перечня, согласованного с ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. (см. статью о квалификационных требованиях к специалистам по ИБ). Базовые ориентиры по образованию задают и профессиональные стандарты Минтруда в области ИБ.

Пентест и российские требования

Анализ защищённости и поиск уязвимостей — не экзотика, а часть требований по защите информации (хотя это не всегда полноценный пентест или Red Team). Анализ уязвимостей входит в меры защиты: в приказе ФСТЭК №21 (ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств.) это группа мер АНЗАнализ защищённости — Группа мер защиты: выявление уязвимостей и контроль конфигураций., в приказе от 25.12.2017 №239 (значимые объекты КИИ) — мера АУДАудит безопасности — Группа мер защиты значимых объектов КИИ (приказ ФСТЭК №239): регистрация событий безопасности, мониторинг и анализ, в том числе анализ уязвимостей (мера АУД.2)..2 «Анализ уязвимостей и их устранение». Конкретная применимость зависит от уровня защищённости и адаптации мер.

Дополнительно: для организаций из сферы Указа Президента №250 (госструктуры, субъекты КИИ и другие) к мероприятиям по оценке защищённости привлекают только организации с лицензиями ФСТЭК и (или) ФСБФедеральная служба безопасности — Регулятор криптографической защиты информации и взаимодействия с ГосСОПКА.. Если вы оказываете пентест как услугу по технической защите информации (контроль защищённости), может требоваться лицензия ФСТЭК; для тестирования собственных систем оператору лицензия не нужна.

Пошаговый маршрут

• освоить базу — сети, Linux, Windows и Active Directory, веб и Python;
• изучить типовые уязвимости (OWASP Top 10) и методологию тестирования;
• практиковаться легально — домашняя лаборатория, CTF, киберполигоны, багбаунти;
• выбрать специализацию (веб, инфраструктура, мобильные, Red Team);
• научиться писать отчёты — понятный отчёт с воспроизведением и рекомендациями и есть главный продукт пентестера;
• при работе в защите информации — пройти переподготовку по ИБ и разобраться в нормативке.

Пентест — одно из направлений ИБ; как в неё войти из смежной ИТ-специальности в целом — в статье «Как перейти в информационную безопасность из другой ИТ-специальности».

Главное

Пентестер легально ищет уязвимости с разрешения владельца системы; без разрешения те же действия — преступление (статья 272 УК и смежные). Нужны сети, операционные системы, веб, скрипты, понимание уязвимостей и методологии тестирования, а ещё умение писать отчёты. Практиковаться следует на своих лабораториях, в CTF и программах багбаунти. В России анализ уязвимостей встроен в требования по защите информации (приказы ФСТЭК от 18.02.2013 №21 и №239), оценку защищённости для организаций из сферы Указа №250 проводят лицензиаты, а для работы в защите информации пригодится профессиональная переподготовка по ИБ.