Представьте: вы сдали клиенту сайт на WordPress, месяц всё работало, а потом приходит письмо от хостера — с сервера рассылают спам. Разбор показал: плагин трёхлетней давности с известной уязвимостью, который никто не обновлял. Классика. Полноценный пентест в такой ситуации заказывать долго и дорого, а вот экспресс-аудит за один вечер поймал бы эту дыру ещё до запуска.
Ниже — практический разбор: что именно проверять, какими инструментами, и где на этом этапе реально помогает ИИ, а где он только создаёт иллюзию работы.
Что такое экспресс-аудит и когда он нужен
Экспресс-аудит (или быстрый security-аудит) — это проверка системы по списку типовых проблем за 2–4 часа. Он не заменяет полноценный пентест (тестирование на проникновение), где специалист часами ищет нестандартные цепочки атак, но отсекает большинство бытовых дыр, через которые ломают сайты и небольшие внутренние сервисы.
- Когда подходит: перед сдачей проекта, после установки нового сервера, раз в квартал для профилактики, при подозрении на взлом.
- Когда не подходит: банки, медицина, госсектор, системы с персональными данными в промышленном объёме — там нужен полноценный аудит и соответствие требованиям регуляторов (152-ФЗ, ГОСТ, PCI DSS).
Важно: любой аудит вы вправе проводить только на своих системах или на чужих — с письменного разрешения владельца. Сканирование чужого сайта без согласия — это уже статья, а не «тестирование». Об этом ниже ещё скажу отдельно.
Чек-лист: что проверяем
1. Периметр и открытые порты
Начинаем с вопроса: что вообще торчит наружу? Сканер портов покажет, какие сервисы доступны из интернета. Часто обнаруживается открытый SSH на стандартном 22-м порту, тестовая админка, а то и база данных, которую «на время» выставили в мир.
Инструменты: nmap (базовый скан — nmap -sV -T4 ваш-домен), онлайн-сервисы вроде Shodan и Censys для проверки, что о вашем сервере уже знает интернет.
2. Версии ПО и известные уязвимости
Дальше сверяем найденные версии сервисов с базами уязвимостей (NVD, CVE). Устаревший nginx, древний PHP, CMS без обновлений — это готовые точки входа. Сканер уязвимостей вроде nuclei или OWASP ZAP прогонит набор типовых проверок автоматически.
3. Заголовки безопасности и TLS
HTTP-заголовки — дешёвый способ закрыть целый класс атак прямо в конфиге сервера. Проверяем наличие Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options. Заодно смотрим сертификат и версии протоколов TLS: testssl.sh покажет, не остался ли где-то отключённый TLS 1.0. Быстрая проверка заголовков — на securityheaders.com.
4. Аутентификация и права доступа
- Есть ли учётка admin/admin или пользователь по умолчанию?
- Работает ли ограничение попыток входа (защита от подбора пароля)?
- Не отдаёт ли сервер листинг директорий?
- Доступны ли служебные файлы (.env, .git, backup.sql) по прямой ссылке?
Последний пункт ловит больше реальных утечек, чем любой хитрый эксплойт: люди годами держат в корне сайта дампы баз и конфиги с паролями.
5. Резервные копии
Бэкап, который ни разу не пробовали восстановить, — это не бэкап, а надежда. Проверяем: делается ли копия автоматически, лежит ли она вне того же сервера и реально ли разворачивается.
6. Логи и мониторинг
Смотрим, пишутся ли логи входов и ошибок, есть ли уведомления о подозрительной активности. Система без логов — это дом без камеры: узнаете о взломе от клиента, а не от себя.
Инструменты: что реально работает
Почти всё для экспресс-аудита — бесплатное и открытое. Минимальный набор:
- nmap — карта открытых портов и сервисов.
- OWASP ZAP или nuclei — автоматические проверки уязвимостей.
- testssl.sh — аудит TLS.
- securityheaders.com — оценка заголовков безопасности.
- Wappalyzer — определение технологий на сайте.
- Ручной обход: папки, конфиги, дефолтные пароли.
Автоматические сканеры дают много ложных срабатываний. Это нормально: их задача — подсветить подозрительное, а решать, настоящая ли это дыра, всё равно человеку.
Где здесь помогает ИИ (и где ему доверять нельзя)
Честно: нейросеть не «взломает» систему за вас и не заменит специалиста. Но в рутине аудита она экономит время.
- Разбор вывода сканеров. Сырой вывод nmap или ZAP на сотни строк удобно скормить LLM с просьбой отсортировать находки по критичности и объяснить простыми словами.
- Черновики конфигов. Сгенерировать базовый набор security-заголовков или правило для fail2ban — быстрее, чем писать с нуля.
- Ревью кода и текстов. Модель неплохо ловит типовые ошибки: SQL-инъекции через конкатенацию строк, отсутствие экранирования, слабые места в обработке форм.
- Понятный отчёт. Из технического списка сделать раздел «что это значит для бизнеса» для клиента.
Важные оговорки. Во-первых, нейросети уверенно выдумывают несуществующие CVE и «уязвимости» — любую её находку надо проверять руками. Во-вторых, не заливайте в публичные чат-боты реальные конфиги, логи и дампы с персональными данными: это утечка, причём своими руками. Для чувствительных данных — только локальные модели. В-третьих, ИИ не видит бизнес-логику: что «неправильный» доступ к чужому заказу — дыра, понимает человек, а не модель.
Правовая сторона: без письменного согласия — никак
Сканирование портов и проверка на уязвимости без разрешения владельца системы в России может квалифицироваться как неправомерный доступ к информации. Даже если вы ничего не сломали и «просто проверили». Поэтому перед любым аудитом:
- Получите письменное разрешение владельца с описанием границ (какие адреса, в какое время).
- Зафиксируйте, что делаете и когда, — это ваша защита при разборе инцидентов.
- Не трогайте чужие домены, даже «для тренировки». Для этого есть легальные полигоны — Hack The Box, TryHackMe и подобные.
Как оформить результат
Аудит без отчёта — это потраченный вечер. Хороший экспресс-отчёт занимает пару страниц:
- Список находок с уровнем критичности (по шкале CVSS — от «низкий» до «критический»).
- Одна-две строки на каждую: что нашли, где, чем это грозит.
- Что починить в первую очередь — закрыть критичное в течение суток, остальное планом.
- Дата, инструменты, границы проверки (что не проверяли).
Заключение
Экспресс-аудит не делает вашу систему неуязвимой, и продавать его клиенту как «полную защиту» нечестно. Но он дешёв, быстр и отсекает большинство типовых дыр, через которые реально ломают небольшие сайты и сервисы. Вечер работы, бесплатные инструменты, дисциплина в проверке — и та самая уязвимая форма авторизации или открытая админка перестают быть «сюрпризом».
ИИ здесь — хороший помощник в рутине: разобрать вывод сканера, набросать конфиг, написать понятный отчёт. Но решения по-прежнему принимаете вы. Как обычно — без магии и без паники.
