Аудит безопасности веб-приложений

Когда нужна проверка

Планировать независимую проверку разумно перед существенным релизом, интеграцией с платёжными или учётными системами, открытием личных кабинетов, а также после серьёзных изменений в правах доступа. Объём зависит от модели угроз и критичности данных.

Автоматическое сканирование помогает увидеть часть проблем, но не заменяет анализ бизнес-логики, разграничения ролей, аутентификации и ошибок конфигурации. При выборе исполнителя сначала уточняют, что входит в работу и какими методами он пользуется.

Что согласовать до начала

• Письменное разрешение владельца системы, границы проверки, окна работ и перечень исключённых сред
• Критичные пользовательские сценарии, роли, API, тестовые учётные записи и возможность тестирования без реальных персональных данных
• Канал срочного уведомления при обнаружении критичного риска и правила обращения с отчётом
• Формат результата: доказательства, влияние на бизнес, рекомендации, приоритизация и контроль устранения

Что должно быть в результате

Полезный отчёт содержит перечень проверенных компонентов и ограничений, описание воспроизводимых проблем, уровень риска в конкретном контексте, владельца исправления и критерий закрытия замечания. Для части требований можно использовать OWASP ASVS как структуру проверок, но соответствие стандарту нельзя объявлять по одному сканированию.

После исправлений нужен ретест: первоначальный отчёт фиксирует состояние на дату проверки, а не гарантирует защищённость приложения навсегда. Обновления компонентов, новые интеграции и изменения прав пользователей требуют регулярного внимания.

Как сравнить предложения исполнителей

• Сопоставлять охват: одно приложение или весь внешний периметр, API, внутренние интерфейсы
• Проверять, кто выполняет работу, какие методики применяются и как подтверждается квалификация
• Уточнять включён ли повторный аудит исправлений, сроки, безопасный обмен отчётами и удаление тестовых данных
• Проверять требования к лицензиям и полномочиям для конкретного состава работ до заключения договора

Частые вопросы

Аудит и пентест — одно и то же?

Не всегда. Аудит может охватывать архитектуру, конфигурацию, процессы и требования; пентест фокусируется на практической проверке эксплуатируемости согласованных угроз. Объём определяет договор.

Можно ли определить цену по количеству страниц?

Обычно этого недостаточно. Значимы роли, API, логика операций, объём интеграций, методика и глубина анализа.

Можно ли тестировать чужой сайт без согласия?

Нет. Активные проверки проводят только в рамках согласованного разрешения и заданных границ.