Кибербезопасность и информационная безопасность

Rules of Engagement и Scope при тестировании на проникновение

6 мин чтенияОпубликовано: 5 августа 2026 г.

Профессиональная визуальная иллюстрация по теме Rules of Engagement при тестировании на проникновение в области Penetration Testing

Быстрый ответ

Rules of Engagement при тестировании на проникновение должны выполняться только в рамках утвержденных Scope и Rules of Engagement. Процесс включает сбор информации, контролируемую проверку, Evidence, оценку рисков, исправление и Retest.

Профессиональное тестирование на проникновение – это авторизованный и определенный процесс, а не набор команд. Scope, Rules of Engagement, доказательства, оценка рисков, исправление и Retest являются неотъемлемой частью работы. Данная статья посвящена Rules of Engagement при тестировании на проникновение и предназначена для начинающих тестировщиков, менеджеров проектов и клиентов. Цель – предоставить методику работы, которую можно применять на практике, в профессиональном собеседовании и в рабочей среде, не ограничиваясь словарным определением.

Основная проблема заключается в том, что данные почти всегда неполные. in-scope assets, out-of-scope, time window могут указывать на направление, но их значение зависит от времени, актива, пользователя и ожидаемой активности. Поэтому мы строим тестирование вокруг исследовательского вопроса, необходимых доказательств и четкого критерия завершения.

Практический сценарий в статье: контрольный список перед началом лабораторного тестирования. Все примеры являются лабораторными данными или описанием процессов. При работе с Penetration Testing, Web или Cloud, необходимо работать только с явным разрешением, определенным Scope и возможностью остановить тестирование.

Разрешение и полномочия

Тема 'Разрешение и полномочия' является центральной частью работы над Rules of Engagement при тестировании на проникновение. Рекомендуется разбить ее на три вопроса: что является входом, какое решение нужно принять и какое доказательство достаточно для его обоснования. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите in-scope assets, out-of-scope, time window, allowed techniques, stop conditions, сравните с ожидаемым поведением и определите хотя бы один Pivot. Результат должен быть проверяемым другим аналитиком, включая ограничения и дальнейшие шаги.

In-scope и Out-of-scope

Процесс Rules of Engagement при тестировании на проникновение строится из этапов с точками остановки. Определяются цель, Scope, источники, разрешенные действия, необходимые доказательства, должностные лица и критерий завершения. В атакующих средах добавляются Stop conditions и аварийный канал.

На каждом этапе должен быть четкий Output: карта активов, Timeline, Finding, Rule, Playbook или отчет. Переход к следующему этапу осуществляется только тогда, когда Output достаточен и достоверен; это предотвращает случайную работу или расширение Scope без разрешения.

Временные рамки и источники

На этом этапе определяется, какие доказательства необходимы для ответа на исследовательский вопрос. Для Rules of Engagement при тестировании на проникновение базовыми точками являются Scope и ROE, время и источник тестирования, Request/Response или вывод инструмента, доказанное влияние в лаборатории. Для каждого источника документируются владелец, срок хранения, часовой пояс, задержка получения и поля, которые могут отсутствовать.

Качество сбора не измеряется тем, что лог 'приходит'. Необходимо проверять Completeness, Latency, Parsing, Duplicate events и синхронизацию времени. Тестирование Canary или известное лабораторное событие позволяет убедиться, что действие появилось в источнике, прошло Pipeline и доступно для поиска в нужных полях.

Технические ограничения и Banned actions

Тема 'Технические ограничения и Banned actions' является центральной частью работы над Rules of Engagement при тестировании на проникновение. Рекомендуется разбить ее на три вопроса: что является входом, какое решение нужно принять и какое доказательство достаточно для его обоснования. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

Связь, остановка и отчетность

Тема 'Связь, остановка и отчетность' является центральной частью работы над Rules of Engagement при тестировании на проникновение. Рекомендуется разбить ее на три вопроса: что является входом, какое решение нужно принять и какое доказательство достаточно для его обоснования. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

Особые точки тестирования

По этой теме рекомендуется заранее построить целевую карту доказательств. Основные точки тестирования: in-scope assets, out-of-scope, time window, allowed techniques, stop conditions, contacts. Список не является автоматическим Checklist; каждый пункт выбран потому, что он может связывать сущность, действие и время или объяснять легитимное поведение.

in-scope assets: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
out-of-scope: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
time window: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
allowed techniques: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
stop conditions: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
contacts: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.

Если одна из точек недоступна, необходимо задокументировать пробел и выбрать альтернативу. Например, если Process identifier нестабилен, можно использовать время, Host, User и Parent; если Payload зашифрован, используются Metadata, объем, частота и TLS/DNS context.

Практический сценарий

Выбранный сценарий – это Checklist перед началом лабораторного тестирования. Цель упражнения – не доказать способность к атаке, а отработать сбор, сравнение и документирование безопасным способом. Перед началом работы определяются фиктивные данные, временное окно и ожидаемый результат.

По завершении упражнения необходимо предоставить продукт, который может быть проверен другим аналитиком или тестировщиком: скриншот или Export доказательства, короткий Timeline, первоначальное предположение, подтверждающее доказательство, ограничение и рекомендацию. Если доказательств недостаточно, правильный вывод заключается в том, что сценарий не доказан.

Этап	Что выполняется	Продукт
Подготовка	Определите Scope, время и цель. Запишите, какие поля или доказательства из in-scope assets, out-of-scope, time window ожидаются.	Краткий план тестирования
Генерация данных	Выполните безопасное и фиктивное действие, связанное с Rules of Engagement при тестировании на проникновение, без реальной информации или воздействия на производственную систему.	Контролируемое событие/Request/Flow
Сбор	Соберите необработанное доказательство и контекст из дополнительного источника. Убедитесь в правильности Time zone, идентификаторов и целостности.	Два связанных доказательства
Анализ	Напишите, что доказывает каждое доказательство, что не доказывает, и какое возможное легитимное объяснение.	Промежуточный вывод
Завершение	Выберите закрытие, эскалацию, Finding или Tuning; добавьте рекомендацию и Retest.	Задокументированный продукт

Практический Checklist

Проверьте и задокументируйте: Scope и ROE.
Проверьте и задокументируйте: время и источник тестирования.
Проверьте и задокументируйте: Request/Response или вывод инструмента.
Проверьте и задокументируйте: доказанное влияние в лаборатории.
Проверьте и задокументируйте: Risk rating.
Проверьте и задокументируйте: Remediation и Retest.
Укажите Time zone, версию инструмента и время сбора.
Сохраните необработанные данные до фильтрации или изменения.
Напишите, что доказывает находка и что еще неизвестно.
Определите владельца и дальнейшие действия со сроком.

Распространенные ошибки

Начать тестирование без подписанного Scope.
Использовать агрессивный Exploit по умолчанию.
Не сохранять Evidence.
Сообщать только о CVSS без контекста.
Не предлагать применимое исправление.
Не выполнять Retest.

Резюме и CTA

Rules of Engagement и Scope при тестировании на проникновение – это тема, которая связывает технические знания с рабочей дисциплиной. Начните с вопроса, собирайте только релевантные доказательства, сохраняйте контекст и время, и выбирайте действие, которое можно обосновать и перепроверить.

В курсе Cybersecurity & AI от HPI эти принципы отрабатываются с использованием систем, логов и лабораторий. Естественным продолжением является переход к связанным статьям, выполнение лабораторного задания и сохранение результата в качестве части профессионального портфолио.

Вопросы и ответы

Разрешено ли проверять Rules of Engagement при тестировании на проникновение на общедоступном сайте?

Нет, без явного разрешения владельца системы. Даже, казалось бы, простое тестирование может изменить данные, активировать защитные механизмы или быть расценено как несанкционированный доступ.

Что делать, если часть данных отсутствует?

Задокументировать отсутствие, проверить альтернативный источник и снизить уровень уверенности. Не следует додумывать поля или представлять Unknown как нормальное состояние.

Как долго нужно хранить доказательства?

Время зависит от политики, регулирования, стоимости и типа инцидента. Важно заранее определить Retention, Legal hold и возможность экспортировать доказательство в проверяемом формате.

Как практиковаться, не подвергая риску реальную систему?

Используйте виртуальные машины, фиктивные данные, CTF или выделенную лабораторию. При авторизованных тестах определяются Scope, Stop conditions и резервное копирование перед началом работы.