Чем аудит отличается от пентеста?
Этот аудит проверяет согласованные компоненты, конфигурацию и доступы. Формальный тест на проникновение предполагает отдельные цели, разрешённые методы и правила взаимодействия. Автоматический сканер не даёт полной картины. В отчёте мы отделяем подтверждённые проблемы от предположений и отмечаем системы, к которым не получили доступа.
Как определить границы аудита безопасности сайта
Начните с решения, которое нужно принять: проверить предупреждение о компоненте, оценить настройки перед запуском или разобраться с доступами после смены подрядчика. Передайте адрес сайта, платформу, причину обращения и требования заказчика. Название «аудит» само по себе не определяет глубину проверки. Активное тестирование требует отдельного согласования полномочий, методов, времени и условий остановки.
Внешнее наблюдение показывает доступную публично поверхность. Доступ к панели сайта позволяет рассмотреть компоненты и пользователей, но не обязательно настройки сервера. Проверка конфигурации не доказывает отсутствие уязвимостей в коде и не заменяет согласованный пентест.
Доступ определяет достоверность выводов
В отчёте различаем наблюдение, сведения владельца и непроверенное предположение. Недоступный участок отмечаем как ограничение, а не как безопасный.
| Доступ | Что можно рассмотреть | Что остаётся неизвестным |
|---|---|---|
| URL сайта | HTTPS и публичные ответы | Внутренние права и состояние копий |
| Панель CMS | Версии, компоненты, учётные записи | Сервер и системы вне разрешённого доступа |
| Хостинг или VPS | Доступная конфигурация и журналы | Непроверенные приложения и история до доступных логов |
Как выглядит полезный результат проверки
Иллюстрация записи: «У бывшего подрядчика сохранилась административная роль». Доказательство: запись в списке пользователей на дату проверки; возможное влияние: изменение контента и настроек; действие: подтвердить владельца, отозвать лишние права и проверить связанные токены. Это пример структуры результата, не клиентский кейс.
Для каждой находки фиксируем затронутый актив, основание, приоритет, предлагаемое действие и способ повторной проверки. Исправления, недоступные проверки и работа других поставщиков согласуются отдельно. Итоговая передача должна позволять владельцу назначить ответственного и проверить закрытие конкретного пункта.
Работа на действующем сайте и повторная проверка
До начала определяем разрешённые адреса, запрещённые действия, контакт и окно проверки. Попытки оплаты, изменение клиентских данных, нагрузочное тестирование и эксплуатация уязвимостей не подразумеваются названием услуги. Условия остановки включают неожиданное влияние на клиентов или выход за разрешённые активы. Приоритет находки зависит от доступности компонента, требуемых прав и влияния на бизнес. Время и условия наблюдения фиксируются вместе с уровнем подтверждения; исправление и повторная проверка согласуются явно.