Аудит, пентест и мониторинг угроз: три разные работы

Их покупают одним абзацем: «проверьте безопасность». Потом ждут, что разовый отчёт будет ловить ночной дефейс, или что подписка на наблюдение заменит проверку, можно ли войти в кабинет. Так смета растёт, а дыра остаётся. В Минске и по Беларуси мы раскладываем это на три работы, чтобы каждая заканчивалась своим результатом.

Чем каждая заканчивается

• Аудит безопасности сайта: список того, в каком состоянии сайт сейчас. Базовый аудит новым клиентам бесплатный, обычно несколько дней. Это не проверка, можно ли слабостью воспользоваться.
• Пентест: подтверждённые сценарии по письменному разрешению, отчёт и повторная проверка. Ориентир от $50 за конечную точку, обычно 1-3 недели.
• Мониторинг угроз: подписка. Письмо или сообщение, когда доступность или вид согласованной страницы изменились.

Хороший порядок для нового сайта спокойный. Сначала аудит, чтобы не стеречь заведомо открытую админку. Потом пентест, если есть роли, оплата или кабинет. Мониторинг включают, когда есть что стеречь и кому звонить. Подписка не выдаёт аттестат ОАЦ. Если наблюдение уже сработало, дальше читают что делать с ночным уведомлением.