Аудит безопасности сайта: 10 проверок за один день

Страх взлома есть. Бюджета на полноценный пентест с отчётом на 80 страниц — нет. В итоге тему откладывают до первого инцидента: подмены главной, утечки базы или блокировки рекламного кабинета.

Хорошая новость: значительную часть дыр видно без «красной команды». За один рабочий день можно пройти экспресс аудит, который отвечает на простой вопрос: сайт уже «приглашает» злоумышленника или базовая гигиена ещё держится.

Это не замена пентесту для финтеха и не сертификация. Это способ перестать гадать и получить список конкретных дыр с приоритетами.

Зачем один день, а не «когда-нибудь»

Полноценный аудит инфраструктуры растягивают на недели согласований. Экспресс по сайту полезен именно скоростью: вы быстро видите критичное — открытый phpMyAdmin, просроченный SSL, админку без защиты, древний WordPress с известными CVE.

Типичный сценарий: интернет-магазин на общей CMS, плагины не обновляли год, бэкапы лежат в ` /бэкап.zip` по прямой ссылке. Пентест закажут «в следующем квартале». Взлом не ждёт квартала.

Десять проверок, которые реально делают за день

1. TLS и сертификат. Срок, цепочка, редирект с HTTP на HTTPS, смешанный контент. Просроченный сертификат — не только «замочек», но и сигнал, что за сайтом никто не смотрит.

2. Версии CMS, плагинов, библиотек. Сверка с известными уязвимостями. Один устаревший контакт форм плагин часто важнее «красивого WAF».

3. Поверхность входа. `/wp-admin`, `/administrator`, `/user/login`, панели хостинга, тестовый контур на поддомене без пароля.

4. Открытые порты и лишние сервисы. SSH/RDP наружу, базы, панели управления, отладочные порты.

5. Права на файлы и каталоги. Запись в веб корень «для всех», исполняемые загрузки в `uploads`.

6. Секреты в публичном доступе. `.env`, `.git`, бэкапы, `phpinfo`, дампы БД по URL.

7. Заголовки и базовая усиление защиты политика. Cookie flags, отсутствие лишних методов, защита от clickjacking по минимуму.

8. Политика паролей и учётных записей. Дефолтные логины, общие учётки «admin», отсутствие 2FA там, где она есть из коробки.

9. Интеграции и вебхуки. Платёжные callback без проверки подписи, открытые API без лимитов.

10. Бэкапы и возможность отката. Не «есть ли бэкап», а «восстанавливали ли когда-нибудь» и где он лежит.

Как не превратить день в театр

Ошибка номер один — сканировать всё подряд сканерами и радоваться тысяче «средних» находок. Руководителю нужен короткий список: что чинить сегодня, что на этой неделе, что можно отложить.

Ошибка номер два — считать зелёный SSL доказательством безопасности. Сертификат не мешает SQL-инъекции и не закрывает админку.

Ошибка номер три — править на проде без снимка. Нашли лишний `phpinfo` — хорошо. Начали «улучшать» права и плагины без бэкапа — можно уложить витрину сильнее любого хакера.

Практичный формат отчёта за день: таблица из 10–20 пунктов с критичностью, воспроизведением «как нашли» и рекомендацией. Без воды про «актуальные тренды киберугроз».

Что делать с результатами

Сначала закрывают то, что даёт мгновенный вход: публичные бэкапы, открытые панели, известные CVE с эксплойтом в открытом доступе, слабые админ пароли.

Затем — процесс: кто обновляет CMS, кто смотрит сроки сертификатов, кто отвечает за тестовый контур. Экспресс аудит бесполезен, если через месяц снова появятся те же дыры.

Если находки тянут на «мы не понимаем периметр», это сигнал к более глубокому аудиту инфраструктуры — уже не «за день», а с картой сети, доступов и журналов. Но начинать всё равно лучше с быстрого среза по сайту: он часто кормит деньги напрямую.

Как встроить экспресс в регулярность

Однодневный срез полезен, если после него появляется календарь. Критичные находки — в работу сразу. Средние — в спринт на две недели. Низкие — в бэклог с датой пересмотра. Иначе отчёт ляжет в папку рядом с прошлыми «когда-нибудь».

Назначьте владельца гигиены сайта: обновления CMS и плагинов, сроки сертификатов, доступы админов, проверка бэкапа. Это может быть внутренний человек или подрядчик по договору — главное, чтобы имя было одно.

Раз в квартал повторяйте короткий чеклист из десяти пунктов даже без большого аудита. Большинство повторных взломов происходит не из экзотики, а из возврата тех же дыр: открытый бэкап, старый плагин, общий пароль.

Если экспресс показал, что периметр шире сайта — админки хостинга, почта, VPN, панели — эскалируйте до аудита инфраструктуры. Сайт часто лишь витрина; ключи от королевства лежат рядом.

Приоритизация находок без паники

Критично то, что даёт вход или утечку данных прямо сейчас: публичные бэкапы, известные CVE с рабочим сценарием, открытые панели, слабые админ пароли. Это чинят в часы, не в квартал.

Средний приоритет — устаревшие компоненты без активного эксплойта в вашем контексте, слабые заголовки, лишние порты без прямого доступа к данным. Их планируют, но не бросают прод в хаотичный рефакторинг.

Низкий приоритет — косметика отчётов сканеров. Нельзя позволить тысяче «info» спрятать три реальных дыры. Руководителю нужен короткий список с владельцами и датами.

После закрытия критичного повторите точечную проверку тех же пунктов. Аудит без контроля исполнения — это дорогой способ почувствовать себя спокойнее на один вечер.

Отдельно стоит договориться, что делать с результатами сканеров: не пересылать «сырой» отчёт из сотни пунктов директору, а переводить его на язык решений. Для каждой критичной находки нужны владелец, срок и способ проверки, что дыра закрыта. Иначе аудит превращается в ритуал тревоги без изменения реальности.

Если за день нашли мало — это не всегда победа. Иногда просто нет доступа к хостингу, логам и панели DNS. Тогда честный итог дня: «поверхность сайта относительно чистая, но периметр вокруг не проверен». Такая формулировка полезнее зелёной галочки.

Итог

Боязнь взлома без бюджета на пентест — не повод жить вслепую. Один день системных проверок снимает главную неопределённость: где сайт уже горит, а где пока тлеет.

Для бизнеса ценность не в галочке «аудит пройден», а в списке действий с приоритетами. Закройте критичное, назначьте владельца обновлений — и уже это сильнее, чем ещё год отговорок «дорого и сложно».