Наталя Зарудня
ВідНаталя ЗарудняГоловний редакторГоловний редактор та фундаторка CyberCalm. Має понад 10 років досвіду в сфері кібербезпеки та технологічної журналістики. Пише про захист даних, безпеку мобільних пристроїв, штучний інтелект та соціальні мережі.Слідкувати: 15.06.2026Поділитися11 хв. читання
Щодня компанії по всьому світу наймають кіберфахівців для злому власних систем: проникнення в мережу, обходу захисту та доступу до найцінніших даних. Це не парадокс, а суть тестування на проникнення (penetration testing, або пентест) — керованої симуляції реальної кібератаки, що замовляється для виявлення вразливостей раніше, ніж це зможуть зробити справжні зловмисники. Результати часом бувають несподіваними: від злому здавалося б неприступних систем за короткий термін до випадків, коли самі фахівці опинялися під арештом.
Зміст
- Що таке тестування на проникнення
- Як це відрізняється від виявлення вразливостей
- Походження професії: від «тигрових груп» до red team
- «Чорний», «білий» та «сірий ящик»
- Процес типового тестування
- Коли тест на проникнення йде не за планом
- Які висновки варто зробити організаціям
Що таке тест на проникнення
Тестування на проникнення — це дозволена атака на власну систему, яку фахівці проводять за замовленням її власника з метою виявлення слабких місць до того, як це зроблять справжні кіберзлочинці. Замовник наймає команду «етичних хакерів», визначає об’єкти атаки, а ті, у свою чергу, намагаються подолати захист, використовуючи ті ж методи, що й реальні нападники: шукають уразливості, експлуатують їх та документують прогрес.
Об’єктом такого тестування може бути будь-що: вебсайт, корпоративна мережа, мобільний додаток, бездротові точки доступу, співробітники компанії (у цьому випадку йдеться про соціальну інженерію) або навіть фізичні об’єкти — двері, замки, системи безпеки та контролю доступу. Мета завжди залишається незмінною: оцінити захист з точки зору потенційного нападника та отримати список конкретних недоліків, які потребують виправлення.
Чим це відрізняється від сканування вразливостей
Тестування на проникнення часто плутають зі скануванням на наявність вразливостей, хоча це різні поняття. Сканування — це, переважно, автоматизований процес: спеціальна програма перевіряє систему за базою відомих проблем і надає перелік потенційних слабких місць. Воно відповідає на запитання «що теоретично може бути небезпечним».
Пентест просувається далі: фахівець вручну намагається ці вразливості реально використати, демонструючи реальний бізнес-ризик. Він відповідає на запитання «що з цього справді можна експлуатувати і до чого це призведе». Саме людська винахідливість, а не тільки автоматика, вирізняє якісний тест: провідні команди проводять до 95% перевірок вручну, імітуючи дії реального противника.
Як народилася ця професія: від «тигрових команд» до red team
Ідея цілеспрямованих атак на власні системи виникла ще на ранніх етапах розвитку комп’ютерної ери. Наприкінці 1960-х та на початку 1970-х років компанія RAND разом з агентством ARPA досліджувала безпеку перших систем колективного доступу. Результатом цього дослідження став звіт RAND R-609 «Security Controls for Computer Systems» (1970), відомий як «доповідь Вара» на честь голови робочої групи Вілліса Вара (Willis Ware): він вперше системно описав загрозу проникнення в такі системи — від «активного» зламу до «пасивного» перехоплення — і заклав основи для розвитку цієї галузі.
Тоді ж уряд та дослідницькі центри почали формувати так звані «тигрові команди» (tiger teams) — групи експертів, яким доручалося зламувати системи безпеки для виявлення та усунення вразливостей. У 1972 році піонер комп’ютерної безпеки Джеймс П. Андерсон (James P. Anderson) представив покрокову методику таких перевірок: знайти вразливість, розробити атаку на її основі, протестувати її та використати для отримання доступу. Ця логіка досі лежить в основі пентесту. Одним із показових ранніх прикладів став тест системи MULTICS, проведений ВПС США у 1974 році, який виявив серйозні прогалини в захисті.
З часом ця практика вийшла за межі військових та державних установ, а навколо неї сформувалися стандарти та методології. Сьогодні фахівці керуються загальновизнаними фреймворками — серед них PTES, OWASP Testing Guide, NIST SP 800-115, OSSTMM та матриця MITRE ATT&CK. Паралельно виникло ширше поняття red team (червона команда) — це вже не просто пошук технічних недоліків, а комплексна симуляція противника, що поєднує злам мереж, соціальну інженерію та фізичне проникнення.
«Чорна», «біла» та «сіра скриня»
Залежно від обсягу інформації, яку фахівець отримує на початковому етапі, тести поділяються на три типи:
- «Чорний ящик» (black box) — тестувальник практично не має інформації про систему, подібно до справжнього зовнішнього зловмисника. Це найреалістичніший сценарій, але й найтриваліший: значна частина часу витрачається на розвідку.
- «Білий ящик» (white box) — фахівцю надається повний доступ: схеми мережі, документація, навіть вихідний код. Це дозволяє провести максимально глибоку перевірку захисту без витрат часу на розвідку.
- «Сірий ящик» (grey box) — компромісний варіант: тестувальник має часткові знання або обмежений доступ. Він поєднує реалістичність «чорного ящика» з глибиною «білого», тому на практиці його обирають найчастіше.
Як проходить типовий тест
Незважаючи на відмінності, більшість пентестів включають схожі етапи:
Підготовка та визначення меж. Замовник та виконавець чітко узгоджують, що саме підлягає атаці (scope), за якими правилами, та де проходить межа дозволеного. Цей етап є найважливішим, і саме на ньому найчастіше виникають проблеми, до яких ми ще повернемося.
Розвідка. Збір інформації про ціль: відкриті домени, сервіси, точки входу, дані про співробітників.
Сканування та аналіз. Пошук конкретних уразливостей у виявлених системах.
Експлуатація. Спроба реального використання знайдених слабких місць для отримання доступу.
Закріплення. Перевірка глибини проникнення в систему та можливості залишатися непоміченим.
Звіт. Ключовий результат роботи: перелік вразливостей, оцінка їхньої критичності та рекомендації щодо їх усунення.
Коли тест на проникнення йде не за планом
Якісний пентест майже завжди виявляє вразливості — за оцінками експертів, червоні команди отримують глибокий доступ до мереж у переважній більшості випадків. Однак, інколи найцікавіші події починаються тоді, коли щось йде не так. Ось кілька хрестоматійних прикладів.
Арешт у суді штату Айова
Судова гілка влади штату Айова найняла компанію Coalfire для перевірки фізичної безпеки своїх будівель. Двоє її фахівців, Гері Демеркуріо (Gary DeMercurio) та Джастін Вінн (Justin Wynn), успішно «зламали» захист двох об’єктів. Вночі 11 вересня 2019 року вони дісталися суду в окрузі Даллас. Знайшовши двері, які були зачинені, але не повністю замкнені, вони навмисно зачинили їх для коректної перевірки замка, а потім відкрили за допомогою саморобного інструменту, що призвело до спрацювання сигналізації. Далі вони, як і завжди в таких ситуаціях, спокійно дочекалися прибуття поліції, маючи при собі лист-дозвіл від замовника.
Однак, цей «лист, що звільняє від відповідальності», не допоміг. Місцевий шериф затримав обох фахівців, їм було пред’явлено звинувачення у крадіжці зі зломом, і вони провели майже добу за ґратами. Коренева проблема полягала в організації: адміністрація судів штату не попередила місцеву поліцію про проведення тесту, а сама будівля належала округу, що спричинило суперечку щодо права влади штату дозволяти проникнення на чужу власність. Згодом звинувачення було пом’якшено до незаконного проникнення, а після слухань у законодавчих зборах штату — повністю знято. Голова Верховного суду Айови навіть вибачився перед депутатами, визнавши, що інцидент підірвав довіру до судової системи.
Історія тривала ще кілька років. Демеркуріо та Вінн подали позов проти округу за незаконний арешт та наклеп. Лише в січні 2026 року — майже через сім років — справа була врегульована мировою угодою на 600 000 доларів — за кілька днів до початку судового процесу та без визнання відповідальності з боку округу. Обидва тестувальники відтоді заснували власну компанію Kaiju Security. Їхній виступ на конференції Black Hat став для галузі цінним, хоч і гірким, уроком: усі межі тестування мають бути чітко зафіксовані письмово та узгоджені з усіма сторонами, які можуть залучити правоохоронні органи.
Навіть «фортеці» падають
У 2016 році стало широко відомо про випадок, коли одну з найбільш «секретних» технологічних компаній світу, Palantir, фактично «зламала» найнята нею ж команда «білих» хакерів. Для сторонніх це звучало як сенсація, але для професіоналів галузі — як буденність. Червоні команди майже завжди перемагають захисні системи та практично завжди виявляють щонайменше кілька серйозних слабких місць. Парадокс полягає в тому, що сам факт замовлення такого тесту свідчить про зрілий підхід до безпеки, а не про її недоліки.
Вантажівка з дисками та спуск із даху
Фізичні тести нерідко призводять до майже анекдотичних ситуацій. Досвідчений фахівець Чарльз Гендерсон (Charles Henderson) одного разу розповів, як, залишаючи об’єкт після виконання завдання, він побачив вантажівку, заповнену дисками компанії, які готувалися до знищення, — з ключами в замку запалювання. Він зателефонував керівнику і уточнив, чи входить це до «меж» тесту. Виявилося, що так. В іншому випадку австралійську команду затримала поліція після того, як вони, одягнені в чорне, спустилися з даху центру обробки даних на тросах із камерами на шоломах. Ці історії добре ілюструють головне правило: все, що фахівець планує зробити, має бути заздалегідь дозволено замовником.
Несподівана знахідка в менеджері паролів
Іноді тестування приносить сюрприз навіть самим фахівцям. Під час одного з пентестів команда RedTeam Pentesting виявила, що реалізація входу через Windows Hello в популярному менеджері паролів Bitwarden дозволяла віддалено викрасти всі дані, збережені в сховищі — без знання основного пароля та без біометричної автентифікації. Ця знахідка виявилася настільки несподіваною, що за згодою із замовником фахівці навіть опублікували окрему розповідь про неї. Bitwarden усунув проблему ще у квітні 2023 року (версія 2023.4.0), але сам випадок є чудовим нагадуванням: навіть продукти, створені для забезпечення безпеки, потребують незалежної перевірки.
Що з цього варто винести організаціям
Тестування на проникнення є одним із найефективніших способів перевірки захисту на практиці, а не лише на папері. Проте, історія з Айови демонструє, що технічна підготовка — це лише половина справи. Перед тим, як замовляти пентест, варто пам’ятати про кілька ключових принципів:
- Чітко визначайте межі тестування (scope) та фіксуйте їх письмово — усні домовленості не захищають ані замовника, ані виконавця.
- Переконайтеся, що особа, яка надає дозвіл, справді має на це повноваження, особливо коли йдеться про чужі будівлі чи системи.
- Повідомте всіх зацікавлених осіб — від служби безпеки до місцевої поліції, якщо тест передбачає фізичне проникнення.
- Пам’ятайте, що мета тесту — не «зловити» команду на провалі, а отримати чесну картину власних слабких місць та вчасно їх усунути.
Зрештою, головний парадокс пентесту полягає в тому, що його успіх вимірюється кількістю виявлених проблем. Чим більше вразливостей виявить найнята команда, тим менше їх залишиться для справжніх кіберзлочинців.
Будь ласка, залиште це поле порожнім
О, привіт
Приємно познайомитися!
Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.
Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.
ТЕГИ:база знаньВибір редакціїкібербезпекаПоділитисяFacebookThreadsКопіювати посиланняДрукЩо думаєте?В захваті0Сумно0Смішно0Палає0Овва!0Попереднє оповідання
Apple розширює батьківський контроль на iPhone в iOS 27Наступне оповідання
Як видалити root-права на Android у 2026 році: безпечні методи
В тренді
Шифрування повідомлень у месенджерах: як налаштувати?
14.08.2026
WhatsApp Scam Alert: нова функція виявляє шахрайські повідомлення без порушення шифрування
14.08.2026
Як змінити обліковий запис Google за замовчуванням на Android
16.08.2026
Комбінації клавіш у Windows 11: повний довідник
18.08.2026
ШІ визначає місце зйомки фото у 9 випадках із 10 — і шахраї вже будують на цьому фішинг
17.08.2026
Огляди
Криза, контроль, хрестовий похід: NATO розібрало російську пропаганду на механізми
11.08.2026
Кібербезпека
Шпигунське ПЗ: що це таке, які види існують і як воно потрапляє на телефон
09.08.2026
Кібербезпека
Штучний інтелект уперше спроєктував повні геноми вірусів — 16 із них виявилися життєздатними
07.08.2026
Кібербезпека
Кібербулінг: як розпізнати цькування в мережі та що робити
05.08.2026