Кибербезопасность и информационная безопасность

Методология Penetration Testing: от Scope до Retest

6 мин чтенияОпубликовано: 5 августа 2026 г.

Профессиональная визуализация по методологии Penetration Testing в области Penetration Testing

Быстрый ответ

Методология Penetration Testing должна выполняться только в рамках утвержденных Scope и Rules of Engagement. Процесс включает сбор информации, контролируемую проверку, доказательства, оценку рисков, исправление и Retest.

Профессиональное тестирование на проникновение — это авторизованный и определенный процесс, а не набор команд. Scope, Rules of Engagement, доказательства, оценка рисков, исправление и Retest являются неотъемлемой частью работы. Данная статья посвящена методологии Penetration Testing и предназначена для студентов PT, клиентов и Junior Pentesters. Цель состоит в том, чтобы предложить метод работы, который можно применять на практике, на профессиональном собеседовании и в рабочей среде, не ограничиваясь словарным определением.

Основная проблема заключается в том, что данные почти всегда неполные. In-scope assets, out-of-scope, time window могут указывать направление, но их значение зависит от времени, актива, пользователя и ожидаемой активности. Поэтому мы будем строить тестирование вокруг исследовательского вопроса, необходимых доказательств и четкого критерия завершения.

Практический сценарий в статье: картирование лабораторного проекта для всех этапов методологии. Все примеры являются лабораторными данными или описанием процессов. При работе с Penetration Testing, Web или Cloud следует работать только с явного разрешения, определенного Scope и возможностью остановить тестирование.

Pre-engagement и Scope

Процесс методологии Penetration Testing строится из этапов с точками остановки. Определяются цель, Scope, источники, разрешенные действия, необходимые доказательства, роли и критерии завершения. В атакующих средах добавляются Stop conditions и аварийный канал связи.

На каждом этапе должен быть четкий Output: карта активов, Timeline, Finding, Rule, Playbook или отчет. Переход к следующему этапу осуществляется только тогда, когда Output достаточен и достоверен; это позволяет избежать случайной работы или расширения Scope без разрешения.

Reconnaissance и Enumeration

Тема 'Reconnaissance и Enumeration' является центральной частью работы над методологией Penetration Testing. Рекомендуется разбить ее на три вопроса: что является входом, какое решение нужно принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите in-scope assets, out-of-scope, time window, allowed techniques, stop conditions, сравните с ожидаемым поведением и определите хотя бы один Pivot. Результат должен быть проверяемым другим аналитиком, включая ограничения и дальнейшие шаги.

Validation и контролируемая Exploitation

Профессиональная проверка методологии Penetration Testing начинается с условий успеха и условий отказа. Определяются положительный Case, отрицательный Case, пограничный Case и аналогичная легитимная активность. Таким образом можно выявить как False Negative, так и False Positive.

В авторизованной среде используется минимальное действие, которое доказывает утверждение без причинения вреда. Сохраняются Input, Output, время и версия, и после исправления выполняется Retest по тому же сценарию, а также проверяется Regression на соседних функциях.

Evidence, Risk и Reporting

Документация методологии Penetration Testing должна позволять человеку, не участвовавшему в работе, понять, что произошло, и воспроизвести вывод. Отделяются факты, интерпретации, предположения и решения, и каждое утверждение связывается с доказательством, запросом или снимком экрана.

Полезная структура включает Summary, Scope, Timeline, Evidence, Impact, Actions, Limitations и Next steps. В отчете PT добавляются Remediation и Retest; в расследовании добавляются Containment, Recovery и Lessons learned.

Remediation и Retest

Уникальные точки проверки

В этой теме рекомендуется заранее построить целенаправленную карту доказательств. Основные точки проверки: in-scope assets, out-of-scope, time window, allowed techniques, stop conditions, contacts. Список не является автоматическим Checklist; каждый элемент выбран потому, что он может связать сущность, действие и время или объяснить легитимное поведение.

in-scope assets: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
out-of-scope: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
time window: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
allowed techniques: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
stop conditions: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
contacts: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.

Если одна из точек недоступна, необходимо задокументировать пробел и выбрать альтернативу. Например, если Process identifier нестабилен, можно использовать время, Host, User и Parent; если Payload зашифрован, используются Metadata, объем, частота и TLS/DNS context.

Практический сценарий

Выбранный сценарий — картирование лабораторного проекта для всех этапов методологии. Цель упражнения не в том, чтобы доказать способность к атаке, а в том, чтобы безопасно практиковать сбор, сравнение и документирование. Перед началом работы определяются фиктивные данные, временное окно и ожидаемый результат.

По окончании упражнения необходимо представить продукт, который может быть оценен другим аналитиком или тестировщиком: снимок экрана или Export доказательства, краткий Timeline, первоначальное предположение, подтверждающее доказательство, ограничение и рекомендация. Если доказательств недостаточно, правильный вывод — сценарий не был доказан.

Этап	Что выполняется	Продукт
Подготовка	Определите Scope, время и цель. Запишите, какие поля или доказательства из in-scope assets, out-of-scope, time window ожидаются.	Краткий план тестирования
Создание данных	Выполните безопасное и фиктивное действие, связанное с методологией Penetration Testing, без реальной информации или влияния на производственную систему.	Контролируемое событие/Request/Flow
Сбор	Соберите необработанные доказательства и контекст из дополнительного источника. Убедитесь в Time zone, идентификаторах и целостности.	Два связанных доказательства
Анализ	Напишите, что каждое доказательство доказывает, что не доказывает и какое возможное легитимное объяснение.	Промежуточный вывод
Завершение	Выберите закрытие, эскалацию, Finding или Tuning; добавьте рекомендацию и Retest.	Задокументированный продукт

Практический Checklist

Проверьте и задокументируйте: Scope и ROE.
Проверьте и задокументируйте: время тестирования и источник.
Проверьте и задокументируйте: Request/Response или вывод инструмента.
Проверьте и задокументируйте: доказанное влияние в лаборатории.
Проверьте и задокументируйте: Risk rating.
Проверьте и задокументируйте: Remediation и Retest.
Укажите Time zone, версию инструмента и время сбора.
Сохраните необработанные данные до фильтрации или изменения.
Напишите, что находка доказывает и что до сих пор неизвестно.
Определите владельца и дальнейшие действия с датой.

Распространенные ошибки

Начать тестирование без подписанного Scope.
Использовать агрессивный Exploit по умолчанию.
Не сохранять Evidence.
Отчитываться только по CVSS без контекста.
Не предлагать применимое исправление.
Не выполнять Retest.

Резюме и CTA

Методология Penetration Testing: от Scope до Retest — это тема, которая связывает технические знания с рабочей дисциплиной. Начните с вопроса, соберите только релевантные доказательства, сохраните контекст и время, и выберите действие, которое можно обосновать и перепроверить.

На курсе Cybersecurity & AI в HPI эти принципы отрабатываются с помощью систем, журналов и лабораторных работ. Естественным продолжением является переход к связанным статьям, выполнение лабораторного упражнения и сохранение продукта в качестве части профессионального портфолио.

Вопросы и ответы

Разрешено ли проверять методологию Penetration Testing на публичном сайте?

Нет, без явного разрешения владельца системы. Даже легкая проверка может изменить данные, запустить механизмы защиты или считаться несанкционированным доступом.

Что делать, если часть данных отсутствует?

Задокументируйте отсутствие, проверьте альтернативный источник и снизьте уровень уверенности. Не следует заполнять поля предположениями или представлять Unknown как нормальное состояние.

Сколько времени нужно хранить доказательства?

Время зависит от политики, регулирования, стоимости и типа инцидента. Важно заранее определить Retention, Legal hold и возможность экспорта доказательств в проверяемом формате.

Как тренироваться, не рискуя реальной системой?

Используйте виртуальные машины, фиктивные данные, CTF или выделенную лабораторию. При авторизованных проверках определите Scope, Stop conditions и резервное копирование перед началом работы.