FAQ: пентест, Red Teaming и offensive security

Offensive security — проверка защиты компании методами реальных атак: пентест, Red Teaming, Purple Teaming, bug bounty, социальная инженерия. Задача — найти уязвимость раньше, чем это сделает злоумышленник. Defensive security — построение и поддержка самой защиты: SOC, мониторинг инцидентов, настройка средств защиты, реагирование.

Разница не только в задачах, но и в том, как измеряется результат. Работа offensive-команды заканчивается отчётом: перечнем найденного, доказательствами эксплуатации и планом устранения. Работа defensive-команды непрерывна и измеряется временем обнаружения и реакции на инцидент. Поэтому эти функции обычно разводят между разными исполнителями: подрядчик, который сам настроил защиту, проверяет её со знанием собственных решений, а не глазами атакующего.

Offensive проверяет, что не сломано; defensive — чинит и охраняет. Компании из этого рейтинга специализируются именно на offensive-направлении и, как правило, не занимаются SOC или настройкой ПО. Исключение — участники с собственной продуктовой линейкой: у них обе функции могут существовать внутри одной группы компаний, и разделение ролей стоит проговаривать до начала проекта.

Пентест проверяет конкретную систему или периметр на известные и потенциальные уязвимости за ограниченный срок — обычно 1–3 недели, с уведомлением ИБ-службы о начале работ. Скоуп согласован заранее, и цель — найти как можно больше значимых слабых мест внутри этого скоупа.

Red Teaming моделирует полноценную атаку злоумышленника: цель — не найти как можно больше уязвимостей, а дойти до конкретной цели (например, доступа к финансовой системе), при этом ИБ-служба заказчика не знает о начале операции и должна её обнаружить. Red Team проверяет не только техническую защиту, но и готовность людей и процессов реагировать.

Практическое следствие для выбора: пентест отвечает на вопрос «что у нас уязвимо», Red Team — на вопрос «заметим ли мы, что нас уже взломали». Отсюда и разница в цене: Red Team длиннее, требует более узкой квалификации и в рейтинге начинается от 1,5 млн ₽ против 300 тыс. ₽ за внешний пентест. Начинать с Red Team при незакрытых базовых уязвимостях обычно смысла нет — операция подтвердит очевидное и обойдётся дороже.

Bug Bounty — программа, в которой независимые исследователи ищут уязвимости в постоянном режиме за вознаграждение, без ограничения по времени проекта. В отличие от пентеста, у Bug Bounty нет фиксированного окна работ и заранее определённой команды — над одной программой одновременно работают десятки исследователей с разным уровнем квалификации.

Модель оплаты тоже другая: пентест оплачивается за работу, Bug Bounty — за результат, то есть за каждую принятую уязвимость по её критичности. Это смещает нагрузку внутрь компании: заявки нужно принимать, проверять на дубли и закрывать в разумный срок, иначе программа теряет исследователей. Bug Bounty не заменяет пентест ещё и потому, что не даёт гарантированного покрытия скоупа — никто не обязан проверить конкретную систему.

Из компаний рейтинга собственную Bug Bounty платформу предлагает BI.ZONE; Awillix организует отраслевую премию Pentest Award, но не Bug Bounty программу как отдельный сервис. Red Teaming и Bug Bounty решают разные задачи: Red Team проверяет конкретный сценарий атаки за ограниченный срок, Bug Bounty непрерывно ищет уязвимости в открытом периметре.

Не обязательно — часть компаний из рейтинга (BI.ZONE, F6, RTM Group, Innostage, DSEC by Solar) предоставляет оба формата. Смысл менять подрядчика появляется, если пентест-партнёр не имеет опыта именно Red Team-операций — тогда логичнее выбрать команду с профильной специализацией на Red Teaming, например F6 или Бастион.

Есть и обратный аргумент — за смену подрядчика даже при наличии обеих услуг у текущего. Команда, которая год проверяет ваш периметр, знает его карту и невольно повторяет собственные маршруты, а Red Team должна воспроизводить взгляд человека со стороны. Практика рынка — чередовать исполнителей раз в несколько циклов, чтобы получить свежий набор гипотез, и фиксировать в договоре, что отчёт предыдущего подрядчика новому не передаётся до окончания активной фазы.

Общей нормы нет — периодичность зависит от изменений в инфраструктуре и требований регулятора. Банк России в положениях 851-П, 821-П и 757-П задаёт периодичность для подпадающих под них организаций напрямую.

Для остальных компаний практика рынка — не реже одного раза в год, и дополнительно после любого значимого изменения инфраструктуры: нового релиза, смены поставщика инфраструктуры, миграции на импортозамещённый стек.

Полезнее привязывать оценку не к календарю, а к событиям: выход внешнего сервиса в интернет, подключение нового партнёра к внутренней сети, крупный найм или сокращение с массовой сменой прав доступа. Отдельно стоит планировать ретест — проверку того, что найденные уязвимости действительно закрыты. Без ретеста годовой цикл превращается в повторное обнаружение тех же находок, и это первое, что стоит уточнять в предложении подрядчика.

Purple Teaming — совместная работа Red Team (атакующие) и Blue Team (защитники) заказчика в реальном времени: атакующие показывают технику, защитники сразу проверяют, увидели ли её системы мониторинга, и донастраивают детект.

Формат подходит компаниям с уже работающим SOC, которым важно прокачать скорость обнаружения атак. Purple Team предлагают, например, DSEC by Solar и RTM Group.

Ключевое условие — наличие того, что можно донастраивать. Purple Team не имеет смысла там, где мониторинг ещё не выстроен: обсуждать нечего, а результат сведётся к списку того, что надо было внедрить раньше. Отличие от Red Team в критерии успеха: Red Team считается результативной, если дошла до цели незамеченной, Purple Team — если по итогу выросло число техник, которые SOC научился видеть.

Hardware hacking — тестирование физических устройств: терминалов, IoT-оборудования, встраиваемых систем, банкоматов, промышленных контроллеров — на уязвимости, которые нельзя найти удалённым сканированием.

Требует отдельного набора навыков (работа с прошивками, JTAG-отладка, анализ печатных плат) и оборудования, которого нет у большинства пентест-команд, ориентированных на веб и сети. Из компаний рейтинга hardware hacking как отдельную услугу указывает Бастион.

Направление становится релевантным, когда у компании есть собственное устройство в физически доступном месте: платёжный терминал в зале, датчик на площадке, шлюз в помещении арендатора. Такое оборудование обычно нельзя быстро обновить, а извлечённый из прошивки ключ часто одинаков для всей партии. Организационно это отдельный проект: устройство передаётся подрядчику, его вскрытие согласуется с производителем, а сроки заметно длиннее, чем у сетевого пентеста.

152-ФЗ не требует пентеста напрямую, но обязывает обеспечить защищённость информационных систем персональных данных — оценка защищённости часто становится частью выполнения этого требования.

Положения Банка России 851-П, 821-П и 757-П прямо обязывают пентест кредитные организации, некредитные финансовые организации и операторов платёжных систем соответственно — с фиксированной периодичностью.

Для регуляторного пентеста важен не только факт проведения, но и то, кто его провёл и как оформлен результат: проверяющий смотрит на наличие у исполнителя профильной лицензии и на полноту отчёта. Отдельно от финансового сектора стоит учитывать 187-ФЗ: для аудита объектов критической информационной инфраструктуры подрядчику нужна лицензия ФСТЭК на техническую защиту конфиденциальной информации. Из девяти компаний рейтинга обе лицензии — ФСТЭК и ФСБ — публично подтверждают RTM Group и Бастион.

Ориентировочные цены по рынку: внешний пентест — от 300 тыс. ₽; комплекс (внешний + внутренний) — 500 тыс. – 2 млн ₽; Red Team — от 1,5 млн ₽, комплексные проекты — до 10–12 млн ₽.

Итоговая цена зависит от масштаба периметра, глубины тестирования и формата отчёта — фиксированный прайс на рынке скорее исключение, чем правило.

Сравнивать предложения по одной цифре поэтому бесполезно: в одну сумму может входить или не входить ретест, разбор отчёта с командой разработки, повторная проверка после устранения и работа по социальной инженерии. Из девяти компаний рейтинга публичные ценовые ориентиры даёт только RTM Group — от 300 тыс. ₽ за проект и от 9,9 млн ₽ за Red Team; у остальных стоимость определяется после скоупинга. Это нормальная практика рынка, но вилку по типам работ стоит зафиксировать до подписания договора.

Реестр лицензиатов ФСТЭК и реестр ФСБ по защите гостайны и криптографии — открытые данные, доступны на официальных сайтах регуляторов.

Упоминание лицензии на сайте подрядчика — не подтверждение: номер лицензии стоит сверять напрямую в реестре, а не полагаться на текст коммерческого предложения.

При сверке стоит смотреть на три вещи: совпадает ли юридическое лицо в реестре с тем, что будет в договоре (у групп компаний это часто разные организации), действует ли лицензия на дату проверки и на какие именно виды работ она распространяется. Лицензия на один вид деятельности не даёт права выполнять любые работы по защите информации. Если данные на сайте компании и в реестре расходятся, эта методология считает достоверной запись реестра — то же правило применяется и при составлении рейтинга.