Содержание
Автопентест — это программа, которая проводит внутренний пентест сама: сканирует сеть, ищет, чем может воспользоваться злоумышленник, и строит цепочку шагов до критичных систем. Его ещё называют автоматизированным пентестом или автоматическим тестированием на проникновение. Результат — не список из сотен уязвимостей, а маршрут атаки и отчёт с тем, что закрывать в первую очередь.
Ниже — зачем он нужен при плановом пентесте, чем отличается от сканера уязвимостей и BAS-платформ и как устроен PT Dephaze — автопентест Positive Technologies. Требования ФСТЭК к пентесту подробно — в статье «Анализ защищённости и пентест по методикам ФСТЭК».
Как работает автопентест
В сети размещают атакующий узел — виртуальную машину или отдельный компьютер в роли злоумышленника. Его ставят в тот сегмент, откуда по модели нарушителя может начаться атака, например в пользовательскую сеть. Затем задают область тестирования: диапазоны IP-адресов, исключения и цели — системы, взлом которых обернётся недопустимым событием.
Дальше система действует как пентестер:
- находит узлы и доступные сервисы;
- ищет, за что зацепиться: уязвимость, ошибку настройки, учётные данные в сетевой папке;
- использует найденное, чтобы повысить привилегии или перейти на следующий узел;
- повторяет, пока не дойдёт до цели или не исчерпает варианты.
В отчёте — какие шаги удались, на каких узлах и что закрыть, чтобы оборвать цепочку.
Как PT Dephaze проходит по сети
Находит путь к критичной системе и помогает проверить, закрыли ли его.
До исправления
Первый запуск: ищем путь к целевой системе.
-
Атакующий узел старт в сети пользователей
Виртуальная машина в сегменте, откуда по модели нарушителя может начаться атака. На проверяемые узлы агенты не ставятся.
-
Рабочее место найдена уязвимость
Система сканирует сеть, находит доступные сервисы и уязвимость, через которую можно закрепиться.
-
Сетевая папка пароль в файле настроек
Встроенная языковая модель ищет логины и пароли в файлах настроек сетевых папок и проверяет, к каким сервисам они подходят. Данные не уходят в интернет.
-
Сервер ждёт подтверждения оператора оператор подтвердил повышение привилегий
Перед действием, которое может навредить инфраструктуре, PT Dephaze ждёт подтверждения пользователя. В примере оператор подтвердил, дальше — повышение привилегий.
-
Целевая система цель достигнута
Система, взлом которой ведёт к недопустимому событию. Отчёт показывает цепочку и рекомендации, что исправить.
После исправления
Повторный запуск после того, как пароль убрали из папки.
-
Атакующий узел старт в сети пользователей
Тот же стартовый сегмент и та же область тестирования, что в первом запуске.
-
Рабочее место найдена уязвимость
Уязвимость ещё не закрыта, но для следующего шага нужен пароль из сетевой папки.
-
Сетевая папка пароль удалён — путь закрыт
После первого отчёта пароль убрали из файла настроек. Учётных данных нет, цепочка обрывается.
-
Сервер не достигнут
-
Целевая система не достигнута
Схема упрощена: условный пример одной цепочки атаки.
Зачем покупать автопентест, если есть плановый пентест
Ручной пентест — снимок на дату, а инфраструктура продолжает меняться: появляются серверы, учётные записи, правила доступа. По данным исследований Positive Technologies, 80 % компаний вносят изменения в инфраструктуру чаще раза в квартал. Между проверками бреши копятся, и о них никто не знает до следующего пентеста или до инцидента.
Автопентест закрывает этот промежуток:
- Регулярность и контроль изменений. Проверку запускают по графику и по сегментам, а после обновления ПО, внедрения новой системы или перестройки сети — внепланово, чтобы увидеть, не открылся ли новый маршрут.
- Проверка исправлений. Закрыли уязвимость или поменяли доменную политику — запустите тест ещё раз и убедитесь, что путь к важной системе действительно закрыт, а не перешёл на соседний узел. Ждать подрядчика не нужно.
- Приоритеты. Сканер выдаёт сотни уязвимостей, автопентест показывает, какие из них реально ведут к цели, — их и закрывают первыми. Это и довод для ИТ-службы: через этот узел доходят до контроллера домена.
- Проверка средств защиты. PT Dephaze проверяет корректность параметров средств защиты и в отчёте подсказывает, как настроить в них мониторинг нелегитимной активности. Видят ли атаку SIEM и SOC, проверяют BAS-платформы — о разнице ниже.
- Подготовка к внешнему пентесту. Positive Technologies называет среди задач PT Dephaze подготовку инфраструктуры к ручному тестированию и сокращение расходов на внешние услуги: очевидные ошибки находят и закрывают до прихода подрядчика, и его время уходит на сложные сценарии.
По данным исследований Positive Technologies, во всех внутренних пентестах удавалось установить полный контроль над инфраструктурой.
Автопентест, BAS, сканер уязвимостей и ручной пентест: в чём разница
| Сканер уязвимостей | Автопентест | BAS-платформа | Ручной пентест | |
|---|---|---|---|---|
| Главный вопрос | какие уязвимости и ошибки настроек есть на узлах | дойдёт ли злоумышленник до критичной системы и каким путём | заметят и остановят ли атаку средства защиты и SOC | что найдут специалисты в согласованных границах, в том числе нестандартными приёмами |
| Как работает | сравнивает версии ПО и настройки с базами уязвимостей, шлёт тестовые запросы | атакует сам: использует найденное и продвигается по сети | выполняет выбранные техники атак на указанных узлах и проверяет реакцию защиты | люди работают по программе и методике конкретной проверки |
| Результат | перечень находок; сам по себе он не доказывает, что атака пройдёт | маршруты атак и приоритет исправлений | какие техники не обнаружены, каких событий нет в SIEM | отчёт исполнителя по согласованному объёму работ |
Классы не заменяют, а дополняют друг друга. Сканер — например, XSpider PRO, RedCheck или MaxPatrol VM — обязателен для анализа уязвимостей по методике ФСТЭК — сравнение сертифицированных сканеров в статье «XSpider, RedCheck и Сканер-ВС», а ручной пентест нужен там, где его требует регулятор, и для сложных сценариев.
Закрывает ли автопентест требования ФСТЭК
С 1 сентября 2026 года пентест прямо назван в порядке аттестации объектов информатизации. Для ГИС и систем госсектора 1 и 2 класса защищённости с выходом в интернет или связью с другими системами — кроме обмена по сети шифрованной связи или VPN на сертифицированных СКЗИ — он обязателен при аттестации, а владелец аттестованной системы контролирует её защищённость анализом уязвимостей и тестированием на проникновение и отчитывается в ФСТЭК не реже раза в три года. Приказ № 117 называет моделирование угроз одним из методов контроля защищённости ГИС — не реже раза в три года и после инцидента. Для значимых объектов КИИ периодичность анализа уязвимостей задаёт сам субъект КИИ.
Купить автопентест вместо этих проверок нельзя. Методика анализа защищённости требует сертифицированные ФСТЭК средства выявления уязвимостей, а другие инструменты допускает дополнительно — с обоснованием в отчёте. Методику пентеста ФСТЭК выдаёт организациям по своему порядку обеспечения документами, в открытом доступе её текста нет.
Зато автопентест работает между обязательными проверками и перед ними: помогает закрыть пути атаки до аттестационных испытаний и визита подрядчика, проверить систему после инцидента или модернизации, не дожидаясь планового контроля, и даёт руководству регулярную картину защищённости вместо отчёта раз в три года.
Сертифицированный сканер уязвимостей нужен в любом случае: без него анализ защищённости по методике ФСТЭК не провести. Автопентест и BAS-платформы применяют дополнительно к нему.
PT Dephaze: автопентест Positive Technologies
PT Dephaze проверяет внутреннюю инфраструктуру без установки агентов. Атакующие узлы размещают в сегментах по модели нарушителя, область задают диапазонами IP-адресов и исключениями, а целями отмечают системы, взлом которых приведёт к недопустимым событиям.
Главное в PT Dephaze — контроль над тестом: действия, которые могут навредить инфраструктуре, выполняются только после подтверждения пользователя, а узлы, которые нельзя трогать, и атаки на согласование задают заранее. Набор атак регулярно пополняется инструментами хакерских группировок и опирается на техники матрицы MITRE ATT&CK.
В версии 2026.3, вышедшей в августе 2026 года, появились:
- локальная языковая модель, которая ищет логины и пароли в конфигурационных и текстовых файлах сетевых папок, проверяет их и использует для развития атаки; модель поставляется в дистрибутиве и не передаёт данные в интернет. По данным Positive Technologies, похищенные учётные записи использовались в четырёх из пяти кибератак 2026 года;
- новые векторы атак на Unix и Linux: повышение привилегий через уязвимости и проверка добытых учётных данных во всех найденных сервисах;
- поддержка служб каталогов на базе FreeIPA, на которые переходят при импортозамещении.
PT Dephaze разворачивается из образов виртуальных машин в VMware ESXi, Hyper-V или KVM. Для изолированных сегментов и удалённых площадок есть PT Dephaze Mobile — версия для ноутбука на объём до 500 активов, ноутбук приобретается отдельно. Продукт включён в реестр российского ПО, запись № 26215.
Лицензия покупается на суммарное число IP-адресов, которые PT Dephaze будет атаковать во всех проверках, и включает обновления на год. Адрес засчитывается, когда система находит на нём активный узел; повторные атаки на него лицензию не тратят, а адреса из исключений не атакуются и не расходуют её. Учтённые адреса не меняются: при модернизации сети можно запросить их переопределение через техподдержку не раньше чем через полгода после покупки и не чаще раза в год, решение принимает производитель. Поэтому область — с филиалами и сегментами, которые появятся в течение года, — стоит определить до покупки.
Товар PT Dephaze по запросу Смотреть →PT Dephaze или PT Dephaze Mobile
| PT Dephaze | PT Dephaze Mobile | |
|---|---|---|
| Для чего | регулярные проверки своей инфраструктуры | изолированные сегменты и удалённые площадки |
| Что входит | сервер управления, атакующих узлов — сколько нужно | сервер и атакующий узел на одном ноутбуке |
| Объём | полосы от 100 до более 100 000 активов | до 500 активов |
| Перенос между инфраструктурами | нет: адреса, на которые распространяется пентест, фиксируются | да |
| Где работает | виртуальные машины в VMware ESXi, Hyper-V или KVM | ноутбук заказчика, приобретается отдельно |
Ноутбук для Mobile должен соответствовать требованиям производителя: по документации версии 2026.3 — не ниже Intel Core i7-13700, 32 ГБ памяти и видеокарта NVIDIA с поддержкой CUDA, на ней подбираются пароли.
Перед покупкой ответьте ещё на три вопроса: сколько активов войдёт в область тестирования за год, есть ли изолированные сегменты и удалённые площадки, на каких ОС и службах каталогов построена сеть — Active Directory, FreeIPA, Linux. От ответов зависят вариант поставки и полоса лицензии.
Сколько стоит автопентест и как купить
Цена PT Dephaze зависит от варианта — стационарный или Mobile — и от полосы активов. Чтобы выбрать полосу, посчитайте активные IP-адреса во всех сегментах, которые будете проверять в течение года, и сразу решите, какие адреса исключить. Варианты и полосы — на странице купить PT Dephaze.
Стартовая позиция — стационарный PT Dephaze на область до 100 активов:
Поможем определить область тестирования и полосу лицензии, согласуем пилот с производителем, подготовим коммерческое предложение и документы для закупки. Покупку оформляем на юрлицо со счётом и договором.
Частые вопросы
Чем автопентест отличается от обычного пентеста? +
Пентест проводят люди — своя команда или подрядчик: за ограниченное время они моделируют атаки и сдают отчёт. Автопентест — программа, которая сама выполняет типовые шаги пентестера: находит узлы, использует уязвимости и учётные данные и продвигается к целевым системам. Её можно запускать по графику, после изменений в сети и после исправлений. Ручной пентест находит нестандартные пути, автопентест даёт регулярность.
Заменит ли автопентест пентест по методике ФСТЭК? +
Нет. Где пентест обязателен — при аттестации ГИС и систем госсектора 1 и 2 класса с выходом в интернет или связью с другими системами (кроме сети шифрованной связи или VPN на сертифицированных СКЗИ) и при контроле аттестованных систем, — его проводят по методике ФСТЭК. Для анализа уязвимостей методика анализа защищённости требует сертифицированные ФСТЭК средства, другие инструменты — только дополнительно, с обоснованием в отчёте. Автопентест полезен между обязательными проверками и для подготовки к ним.
Безопасен ли автопентест для работающей сети? +
Производители ограничивают риски. В PT Dephaze действия, которые могут навредить инфраструктуре, выполняются только после подтверждения пользователя, а узлы, которые нельзя трогать, и атаки на согласование задают заранее. Тест всё равно моделирует реальную атаку, поэтому область, время проведения и исключения согласуют с владельцами систем.
Чем автопентест отличается от BAS-платформы? +
Автопентест ищет путь до целевой системы, используя найденные уязвимости и учётные данные. BAS-платформа выполняет отдельные техники атак на выбранных узлах и проверяет, обнаружат ли их средства защиты, попадут ли события в SIEM и сформируется ли инцидент в SOC.
Нужен ли сканер уязвимостей, если есть автопентест? +
Да. Сканер составляет полный перечень уязвимостей и ошибок настроек, а для анализа защищённости по методике ФСТЭК нужен сертифицированный сканер. Автопентест показывает, какие из найденных проблем складываются в реальную атаку и что исправлять первым.
Как часто запускать автопентест? +
Positive Technologies предлагает тестировать сегменты регулярно, после обновления ПО и внедрения новых систем; после исправлений тест стоит повторить, чтобы убедиться, что путь закрыт. Минимум для ГИС задаёт приказ № 117: контроль защищённости не реже раза в три года и после инцидента. Автопентест позволяет проверять намного чаще.
Как считается лицензия PT Dephaze? +
По суммарному числу IP-адресов, которые система будет атаковать во всех проверках: адрес засчитывается, когда на нём найден активный узел, повторные атаки и адреса из исключений лицензию не тратят. Полосы — от 100 до более 100 000 активов, обновления на год. Вариант Mobile для ноутбука рассчитан на объём до 500 активов, ноутбук приобретается отдельно.
PT Dephaze или PT Dephaze Mobile — что выбрать? +
Стационарный PT Dephaze ставят в инфраструктуру для регулярных проверок своей сети, атакующих узлов можно развернуть сколько нужно. PT Dephaze Mobile работает с ноутбука — для изолированных сегментов и удалённых площадок, куда удобнее приехать с ноутбуком, и рассчитан на объём до 500 активов.
Можно ли попробовать автопентест до покупки? +
Да, Positive Technologies проводит пилотные проекты PT Dephaze. Поможем согласовать пилот: заранее определить сегменты, цели и критерии, по которым решите о покупке.
