Тестирование на проникновение
Тестирование на проникновение (penetration testing, пентест) — санкционированная владельцем имитация атаки на информационную систему, чтобы найти и продемонстрировать реально эксплуатируемые уязвимости раньше злоумышленников. В отличие от автоматического сканирования уязвимостей, пентест включает ручную эксплуатацию найденных слабых мест и завершается отчётом с рекомендациями.
проверено по: csrc.nist.gov ↗
См. также
- Ред-тимингРед-тиминг (red teaming) — метод проверки безопасности: специалисты или автоматические инструменты намеренно атакуют систему так, как это сделал бы злоумышленник, чтобы найти уязвимости до настоящей атаки. Для ИИ-систем так ищут, например, способы заставить модель выдать вредный ответ, обойти ограничения или использовать её во зло.
- ЭксплойтПрограмма, фрагмент кода или последовательность команд, которые используют уязвимость в программе или системе для атаки: получения контроля, повышения прав или вывода системы из строя (exploit). Эксплойты пишут злоумышленники, но также и специалисты по безопасности: так они проверяют, насколько найденная уязвимость реально опасна.
- XBOWАмериканская компания из Сиэтла, которая делает автономную платформу наступательной кибербезопасности. Её ИИ-агенты постоянно атакуют приложения так, как это делают настоящие хакеры: ищут уязвимости и проверяют, можно ли их использовать. Это заменяет или дополняет разовое ручное тестирование на проникновение. Компанию основали выходцы из команды, создавшей GitHub Copilot.
- Уязвимость нулевого дняУязвимость в программе, прошивке или оборудовании, о которой ещё не знают разработчик и защитники, поэтому исправления для неё нет (англ. zero-day). Атака с её использованием называется атакой нулевого дня. От известных уязвимостей такие отличаются тем, что заранее защититься от них обновлением нельзя.
В новостях
За двое суток раскрыли уязвимости в PHP и GitLab, а хакеры применили ИИ-агентов
Разрешённая владельцем имитация атаки на систему, чтобы найти уязвимости раньше злоумышленников.
Anthropic расширила доступ к Claude Mythos для специалистов по киберзащите
Атака на компьютерную систему, которую заказал её владелец: специалисты действуют как злоумышленники, чтобы найти уязвимости раньше настоящих взломщиков.