Қазақстандағы пентест: құны, кезеңдері, есепте не болуы тиіс және орындаушыны қалай таңдау керек

Қысқаша: пентест (енуге тестілеу) — бұл осалдықтарды табу және шабуылдаушының қандай деректерге жете алатынын көрсету үшін компанияның ақпараттық жүйелеріне келісілген ережелер бойынша жасалатын бақыланатын шабуыл имитациясы. Genius Systems мұндай жұмыстарды Қазақстан ұйымдары үшін — Өскемен, Астана, Алматы, Қарағанды, Павлодар — ақпараттық қауіпсіздік аудитінің бір бөлігі ретінде жүргізеді. Төменде — жоба неден тұратыны, баға қалай қалыптасатыны, есепте не болуға міндетті екені және орындаушыны сканер нәтижелерін сатушыдан қандай белгілер бойынша ажыратуға болатыны.

Пентест, сканерлеу және аудит — әртүрлі жұмыстар

Оларды сатып алу кезеңінде шатастырады, сөйтіп тапсырыс беруші күткенінен басқа нәрсе алады.

	Сканерлеу	Пентест	Ақпараттық қауіпсіздік аудиті
Не істейді	Белгілі осалдықтарды автоматты іздеу	Пайдалану мүмкіндігін тексеру, шабуыл тізбегі	Процестер мен баптаулардың сәйкестігін тексеру
Немен	Invicti (ex-Acunetix), Rapid7, Nessus	Құралдар және маманның қолмен жұмысы	Сауалнамалар, конфигурация көшірмелері, чек-листер
Нәтиже	CVSS бағалары бар анықталған кемшіліктер тізімі	Расталған векторлар және қол жеткізу дәлелдері	Сәйкестік туралы есеп, алшақтықтарды жою жоспары
Қаншалықты жиі	Ай сайын немесе үздіксіз	Жылына 1–2 рет және ірі өзгерістерден кейін	Жыл сайын, аттестаттау немесе тендер алдында

Сканерлеу — процесс, сондықтан оны бір реттік қызмет ретінде емес, осалдықтарды басқару ретінде құру керек. Сканер таңдау туралы — Acunetix / Invicti және баламалар шолуында.

Пентест түрлері

• Сыртқы периметр. Жария IP-мекенжайлар, VPN-шлюздер, пошта, порталдар. Кез келген компания үшін ақылға қонымды минимум.
• Веб-қосымшалар және API. Жеке кабинеттер, интернет-дүкендер, мобильді бэкендтер. Аса маңызды ақаулардың көпшілігі осы жерден табылады: авторизацияны айналып өту, бөгде объектілерге қол жеткізу (IDOR), инъекциялар.
• Ішкі желі. «Шабуылдаушы желі ішінде» моделі: сегменттеу, Active Directory-дегі құқықтар, домен әкімшісіне дейінгі жол.
• Wi-Fi және физикалық қол жеткізу. Оқшауланбаған қонақ желілері, келіссөз бөлмелеріндегі розеткалар, серверлік бөлме.
• Әлеуметтік инженерия. Фишинг және қоңыраулар. Нәтиже жағымсыз, бірақ пайдалы: құпиясөзін енгізген қызметкерлердің пайызы.

Білім көлемі бойынша модельдер: black box (тек компанияның атауы ғана белгілі), grey box (тестілік есептік жазбалар мен сұлба бар — әдетте баға мен толықтықтың ең жақсы арақатынасы), white box (код пен конфигурацияларға қол жеткізу бар).

Кезеңдер мен мерзімдер

1. Скоуп және ережелер (3–5 күн). Жүйелер тізбесі, тестілеу терезелері, тыйым салынған техникалар, жұмыстарды тоқтатуға арналған байланыс тұлғасы, NDA және жүйелер иесінің жазбаша рұқсаты.
2. Ақпарат жинау (1–3 күн). Ашық дереккөздер, қосалқы домендер, жылыстаған есептік деректер, периметрдегі сервистер.
3. Осалдықтарды іздеу және тексеру (5–15 күн). Сканерлеу және әрбір анықталған кемшілікті қолмен тексеру: ол сіздің конфигурацияңызда қайта жаңғыртыла ма.
4. Пайдалану (эксплуатация). Осал сервистен есептік жазбаға және одан деректерге дейінгі тізбек. Аса маңызды кемшіліктер туралы дереу хабарланады.
5. Есеп және нәтижелерді қорғау (5–7 күн). Құжат және АТ бөлімімен әрі басшылықпен кездесу.
6. Retest. Түзетулерден кейін 1–3 айдан соң — шарттың міндетті тармағы, әйтпесе нәтиже өлшенбеген болып қалады.

Барлығы — сыртқы периметр мен веб-қосымшаға 2–3 апта; ішкі желі мен әлеуметтік инженерия кіретін кешенді жобаға 4–6 апта.

Баға неден құралады

Фактор	Қалай әсер етеді
Жүйелер мен мекенжайлар саны	Басты драйвер: 10 және 100 мекенжай — қолмен жұмыстың әртүрлі көлемі
Модель тереңдігі	Black box дайындық жағынан арзанырақ, бірақ орындалуы ұзағырақ; grey box табылған бір ақауға шаққандағы бағасы бойынша тиімдірек
Нысана түрі	Кабинеті мен төлемдері бар веб-қосымша статикалық сайттан 3–5 есе қымбат
Ішкі желі, әлеуметтік инженерия	Бөлек есептеледі: сценарийлер, легендалар, орнына бару немесе қорғалған қашықтан қол жеткізу
Retest	Негізгі жұмыстар құнының 15–25 %

Өңірдегі мердігерлердің жария прайстары базалық сыртқы пентест үшін шамамен 0,6–0,7 млн ₸-ден басталады; кешенді жобалар бірнеше есе қымбат тұрады. Күмәнді түрде арзан ұсыныс — әрдайым дерлік қолмен тексерілмеген сканер есебі.

Есепте не болуы тиіс

1. Басшылыққа арналған түйіндеме 1–2 бетте: қандай бизнес-тәуекелдер расталды, терминдерсіз.
2. Скоуп және шектеулер: не тестіленді, не тестіленбеді, қандай техникаларға тыйым салынды. Онсыз есепті түсіндіру мүмкін емес.
3. Әрбір анықталған кемшілік бөлек: сипаттамасы, қауіптілік деңгейі (CVSS және бизнеске әсері), нақты мекенжайы немесе endpoint.
4. Қайта жаңғырту қадамдары: сұраулар, скриншоттар, командалар. Әкімші кемшілікті өзі қайта жаңғырта алуы тиіс.
5. Қол жеткізу дәлелдері: қандай деректерге және қалай жеткені, иесіздендірілген түрде.
6. Нақты ұсынымдар: «бағдарламалық жасақтаманы жаңартыңыз» емес, нұсқа, параметр, ереже. Желілік кемшіліктер үшін — NGFW-дегі ереже, журналдау үшін — SIEM-дегі корреляция ережесі.
7. Басымдықтары, мерзімдері және жауаптылары көрсетілген жою жоспары; қосымшаларда — сканерлеу логтары мен тексерілген түйіндер тізбесі.

ЖИ-сервистерді бақылауды тексеруді бөлек сұраңыз: қызметкерлердің жария LLM-дерге қол жеткізуі және корпоративтік көмекшілердегі промпт-инъекциялар — периметрдің жаңа бөлігі, ЖИ-ді қорғау бөлімін қараңыз.

Қазақстанның құқықтық контексі

• Жүйе иесінің жазбаша рұқсатынсыз жүргізілген жұмыстар — қызмет емес, ҚР Қылмыстық кодексінің ақпараттық жүйелерге заңсыз қол жеткізу туралы нормалары бойынша құқық бұзушылық құрамы. Рұқсат, скоуп және мерзімдер инфрақұрылымға алғашқы сұрау жіберілгенге дейін қол қойылады.
• «Электрондық үкіметтің» ақпараттандыру объектілері мен ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілері (АКИАМО, КВОИКИ) үшін бөлек формат қолданылады — «Ақпараттандыру туралы» ҚР Заңы және бейінді министрліктің 2019 жылғы 3 маусымдағы бұйрығы бойынша ақпараттық қауіпсіздік талаптарына сәйкестікке сынақтар. Коммерциялық пентест оларды алмастырмайды, және керісінше.
• АКТ және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптар (ҚР Үкіметінің № 832 қаулысы) 2026 жылдан бастап кеңірек қолданылады: мемлекеттік заңды тұлғаларға, квазимемлекеттік секторға, мемлекеттік жүйелермен интеграцияланатын мемлекеттік емес жүйелердің иелеріне, АКИАМО иелеріне және ақпараттық қауіпсіздіктің жедел орталықтарына (АҚЖО). Қорғалуды мерзімді бағалау — осы талаптардың бір бөлігі.
• Егер скоупқа дербес деректері бар жүйелер кірсе, орындаушының нақты дербес деректерге қол жеткізуін шектеңіз немесе иесіздендірілген жиынтықтар беріңіз: «Дербес деректер және оларды қорғау туралы» ҚР Заңы тестілеу кезінде де қолданылады.

Орындаушыны қалай таңдау керек

• Компанияның логотиптері емес, жұмыс істейтін нақты мамандардың сертификаттары (OSCP, OSWE, CEH).
• Шартқа қол қойғанға дейін иесіздендірілген есеп үлгісі: оған бір қарау сұрақтардың 80 %-ына жауап береді.
• Retest бағаға кіреді; шартта NDA, тестілеу терезелері, DoS-жүктемеге тыйым салу және аса маңызды кемшілік туралы дереу хабарлау бар.
• Сіздің стегіңізді түсінуі: соңғы нүктелерде Kaspersky, периметрде Check Point немесе Palo Alto, резервтік көшіруде Veeam, Falcongaze немесе GTB негізіндегі DLP. Орындаушы қолданыстағы қорғаныс құралдарының шабуылды неге тоқтатпағанын түсіндіруі тиіс.
• Жоспарсыз, жауаптыларсыз және retest-сіз есеп — нәтижесіз шығын; ал жылына бір тест тұрақты сканерлеу мен жаңартуларды орнатуды алмастырмайды.

Әрі қарай не істеу керек

Периметрдегі жүйелер тізбесін жіберіңіз және өзіңіз үшін жол берілмейтін оқиғаны атаңыз — retest-ті қоса алғанда скоуп, смета және жұмыс кестесін дайындаймыз. Ақпараттық қауіпсіздік аудитінен немесе бірден сыртқы пентесттен бастауға болады. Бізге жазу.