Пентест в Казахстане: стоимость, этапы, что должно быть в отчёте и как выбрать исполнителя

Коротко: пентест (тест на проникновение) — это контролируемая имитация атаки на информационные системы компании по согласованным правилам, чтобы найти уязвимости и показать, до каких данных может дойти злоумышленник. Genius Systems проводит такие работы для организаций Казахстана — Усть-Каменогорск, Астана, Алматы, Караганда, Павлодар — как часть аудита информационной безопасности. Ниже — из чего состоит проект, как формируется цена, что обязано быть в отчёте и по каким признакам отличить исполнителя от продавца результатов сканера.

Пентест, сканирование и аудит — разные работы

Их путают на этапе закупки, и заказчик получает не то, что ожидал.

	Сканирование	Пентест	Аудит ИБ
Что делает	Автопоиск известных уязвимостей	Проверка эксплуатируемости, цепочка атаки	Проверка процессов и настроек на соответствие
Чем	Invicti (ex-Acunetix), Rapid7, Nessus	Инструменты плюс ручная работа специалиста	Опросы, выгрузки конфигураций, чек-листы
Результат	Список находок с CVSS	Подтверждённые векторы и доказательства доступа	Отчёт о соответствии, план устранения разрывов
Как часто	Ежемесячно или непрерывно	1–2 раза в год и после крупных изменений	Ежегодно, перед аттестацией или тендером

Сканирование — процесс, и строить его нужно как управление уязвимостями, а не как разовую услугу. Про выбор сканера — в разборе Acunetix / Invicti и альтернатив.

Виды пентеста

• Внешний периметр. Публичные IP, VPN-шлюзы, почта, порталы. Разумный минимум для любой компании.
• Веб-приложения и API. Личные кабинеты, интернет-магазины, мобильные бэкенды. Здесь находят большинство критичных дефектов: обход авторизации, доступ к чужим объектам (IDOR), инъекции.
• Внутренняя сеть. Модель «злоумышленник внутри»: сегментация, права в Active Directory, путь до домен-администратора.
• Wi-Fi и физический доступ. Гостевые сети без изоляции, розетки в переговорных, серверная.
• Социальная инженерия. Фишинг и звонки. Результат неприятный, но полезный: процент сотрудников, которые ввели пароль.

Модели по объёму знаний: black box (известно только имя компании), grey box (есть тестовые учётные записи и схема — обычно лучшее соотношение цены и полноты), white box (доступ к коду и конфигурациям).

Этапы и сроки

1. Скоуп и правила (3–5 дней). Перечень систем, окна тестирования, запрещённые техники, контакт для остановки работ, NDA и письменное разрешение владельца систем.
2. Сбор информации (1–3 дня). Открытые источники, поддомены, утёкшие учётные данные, сервисы на периметре.
3. Поиск и проверка уязвимостей (5–15 дней). Скан плюс ручная проверка каждой находки: воспроизводится ли она в вашей конфигурации.
4. Эксплуатация. Цепочка от уязвимого сервиса к учётной записи и от неё к данным. Критичные находки передаются немедленно.
5. Отчёт и защита результатов (5–7 дней). Документ плюс встреча с ИТ и руководством.
6. Retest. Через 1–3 месяца после исправлений — обязательный пункт договора, иначе результат не измерен.

Итого 2–3 недели на внешний периметр и веб-приложение; 4–6 недель на комплексный проект с внутренней сетью и социальной инженерией.

Из чего складывается цена

Фактор	Как влияет
Число систем и адресов	Главный драйвер: 10 и 100 адресов — разный объём ручной работы
Глубина модели	Black box дешевле в подготовке, но дольше в исполнении; grey box выгоднее по цене за найденный дефект
Тип цели	Веб-приложение с кабинетом и платежами дороже статического сайта в 3–5 раз
Внутренняя сеть, социнженерия	Считаются отдельно: сценарии, легенды, выезд или защищённый удалённый доступ
Retest	15–25 % от стоимости основных работ

Публичные прайсы подрядчиков в регионе начинаются примерно с 0,6–0,7 млн ₸ за базовый внешний пентест; комплексные проекты стоят кратно больше. Подозрительно дешёвое предложение — почти всегда отчёт сканера без ручной проверки.

Что должно быть в отчёте

1. Резюме для руководства на 1–2 страницы: какие бизнес-риски подтверждены, без терминов.
2. Скоуп и ограничения: что тестировалось, что нет, какие техники были запрещены. Без этого отчёт нельзя интерпретировать.
3. Каждая находка отдельно: описание, критичность (CVSS плюс влияние на бизнес), точный адрес или endpoint.
4. Шаги воспроизведения: запросы, скриншоты, команды. Администратор должен воспроизвести находку сам.
5. Доказательства доступа: до каких данных дошли и как, в обезличенном виде.
6. Конкретные рекомендации: не «обновите ПО», а версия, параметр, правило. Для сетевых находок — правило на NGFW, для журналирования — правило корреляции в SIEM.
7. План устранения с приоритетами, сроками и ответственными; в приложениях — логи сканирования и перечень проверенных узлов.

Отдельно просите проверку контроля ИИ-сервисов: доступ сотрудников к публичным LLM и промпт-инъекции в корпоративных ассистентах — новая часть периметра, см. защиту ИИ.

Правовой контекст Казахстана

• Работы без письменного разрешения владельца системы — не услуга, а состав правонарушения по нормам УК РК о неправомерном доступе к информационным системам. Разрешение, скоуп и сроки подписываются до первого запроса к инфраструктуре.
• Для объектов информатизации «электронного правительства» и критически важных объектов ИКИ действует отдельный формат — испытания на соответствие требованиям информационной безопасности по Закону РК «Об информатизации» и приказу профильного министерства от 3 июня 2019 года. Коммерческий пентест их не заменяет, и наоборот.
• Единые требования в области ИКТ и обеспечения ИБ (постановление Правительства РК № 832) с 2026 года распространены шире: на государственные юридические лица, квазигоссектор, владельцев негосударственных систем, интегрируемых с государственными, владельцев КВО ИКИ и оперативные центры ИБ. Периодическая оценка защищённости — часть этих требований.
• Если в скоуп попадают системы с персональными данными, ограничьте доступ исполнителя к реальным ПДн или дайте обезличенные наборы: Закон РК «О персональных данных и их защите» действует и во время тестирования.

Как выбрать исполнителя

• Сертификаты конкретных специалистов, которые будут работать (OSCP, OSWE, CEH), а не логотипы компании.
• Обезличенный пример отчёта до подписания договора: один взгляд на него отвечает на 80 % вопросов.
• Retest в цене; договор с NDA, окнами тестирования, запретом на DoS-нагрузку и немедленным уведомлением о критической находке.
• Понимание вашего стека: Kaspersky на конечных точках, Check Point или Palo Alto на периметре, Veeam в резервном копировании, DLP на Falcongaze или GTB. Исполнитель должен объяснить, почему существующие средства защиты атаку не остановили.
• Отчёт без плана, ответственных и retest — расходы без результата; и один тест в год не заменяет регулярное сканирование и установку обновлений.

Что дальше

Пришлите перечень систем на периметре и назовите недопустимое для вас событие — подготовим скоуп, смету и график работ, включая retest. Начать можно с аудита ИБ или сразу с внешнего пентеста. Написать нам.