Для чего нужен пентест - о практической пользе

За этот год мы сделали несколько десятков пентестов. И мы тут поняли, что мы практически не писали о практической пользе от них.

Что касается внешки — то где-то в половине случаев находились прям критические-критические уязвимости, которые можно брать и эксплуатировать. К сожалению, не все заказчики закрывают их быстро, но большинство закрывает. Внутренний пентест почти всегда успешный, особенно в компаниях с развитой инфраструктурой, но тут причины понятны: чем больше внутри всего, тем больше шансов дойти до недопустимого события.

Пока наш топ проблем такой:
1. Отсутствие двухфакторной аутентификации. Это прям must, и зачастую простой поиск по утечкам может дать нужный результат
2. Простые ошибки, которые находит 4sec. Понятно, что в ходе пентеста используются более "продвинутые" инструменты, ищутся ошибки в логике, и так далее — но иногда это избыточно. Причем таких уязвимостей может быть несколько.
3. Грубые ошибки, скажем так, в архитектуре. Бывает, что у заказчика в сеть торчит то, что торчать туда не должно, а дальше см. пункт 1. Мораль: пара логин/пароль admin admin это проблема, как и торчащий в интернет .git!

И это еще без использования социалки, но там отдельная история.

Кстати, стоимость самого простого проекта — 250 000 рублей, самого дорогого — 1,2 млн. Кибербез это не так дорого, как принято считать, а унификация процессов существенно его удешевляет.