Внешний аудит без доступа внутрь: как я нашёл 9 критичных дыр и доказал их на практике

Кейс обезличен по просьбе клиента — работали под NDA.

Клиент — крупный правообладатель в музыкальной индустрии. Контент массово ворует сеть пиратских сайтов-клонов, около 170 доменов. Плюс регулярные атаки на основной ресурс. А подрядчик, который «следил за безопасностью», годами отвечал одно: «всё под контролем».

Клиент попросил проверить это независимо. Условие жёсткое: доступа внутрь сервера нет. Только снаружи — ровно то, что видит любой атакующий из интернета.

Почему это вообще стало задачей

Со стороны бизнес выглядел спокойно: сайт работает, контент продаётся, за безопасность отвечает подрядчик. Но за фасадом копилась проблема. Пиратские клоны жили годами, атаки на ресурс повторялись, а внятного ответа на вопрос «что с этим делать» не было.

Когда ко мне пришли, формулировка звучала так: «Нам не нужен ещё один отчёт ради галочки. Нам нужно понять, реально ли мы защищены — и если нет, где именно мы дырявые».

Именно поэтому аудит был не формальным, а честным. И именно поэтому он вскрыл неприятную правду.

Как я проводил аудит

Никакого доступа внутрь: ни логинов, ни конфигов, ни серверных прав. Только внешняя разведка и анализ того, что ресурс сам о себе рассказывает.

Я смотрел на систему глазами того, кто пришёл вредить:

что сайт и инфраструктура раскрывают о своём устройстве снаружи;
как ведёт себя защитный барьер и что он на самом деле пропускает;
какие сервисы открыты наружу и чем это может обернуться;
где логика работает не так, как задумано, и как этим воспользоваться.

Один вопрос был главным на всём протяжении: как это сломать. Не «соответствует ли чек-листу», а «что произойдёт, если надавить».

Что нашлось

Сайт выглядел защищённым: стоял барьер, инфраструктура настроена, внешне всё прилично. Но картина рассыпалась быстро.

Защитный барьер обходился просто, а сервер был доступен напрямую — без всякой фильтрации.

В итоге — 9 критичных проблем. Это не мелкие недочёты и не «рекомендации на будущее». Это дыры, через которые можно либо добраться до данных, либо обрушить ресурс целиком.

Какие-то из них были видны с первого взгляда, какие-то открывались при последовательном копании. Объединяло их одно: ни одну из них текущий подрядчик за всё время не заметил. И всё это — без единого доступа внутрь, только снаружи.

Почему подрядчик «не видел»

Это, пожалуй, самый важный вывод кейса. Проблема была не в том, что подрядчик плохой. Проблема в подходе.

Он проверял «витрину»: что настроено, что включено, что написано в отчёте. А атакующий смотрит совсем с другой стороны — не «как должно работать», а «где сломается». Разница между этими двумя взглядами и есть разница между иллюзией защиты и реальной устойчивостью.

Красивый фасад не равен защите. Барьер на входе, аккуратные логи и регулярные отчёты ещё ничего не гарантируют, пока никто не проверил систему так, как проверял бы её противник.

Как я доказал, что это не теория

Можно было просто отдать отчёт со списком. Но пока владелец не увидит последствия своими глазами, он не поверит — слишком много раз ему говорили «всё под контролем».

Поэтому я предложил контролируемую проверку на устойчивость: по договору, с полным согласием клиента, в согласованном окне. Цель — не «сломать», а показать реальный уровень риска.

Около 2,83 миллиона запросов. Это не хаотичный шторм, а выверенная нагрузка, имитирующая реальную атаку.

Результат был предсказуем, но всё равно болезненным: сначала ошибку возвращал каждый второй запрос, затем сайт полностью упал. Восстановление заняло около полутора минут. Владелец увидел, что «защита» существует в основном на бумаге.

Что вошло в отчёт

По итогам клиент получил не набор пугающих скриншотов, а рабочий документ:

полный перечень найденных проблем с описанием и последствиями;
оценку критичности — что закрывать в первую очередь, а что может подождать;
приоритеты и конкретные рекомендации по устранению каждой дыры;
понятную картину рисков, которую можно показать инвестору, аудитору или страховой.

Именно в этом ценность независимого аудита: он не «защищает» и не «успокаивает». Он показывает реальное положение дел — до того, как его покажет атакующий.

Вторая задача: пиратская сеть

Параллельно был второй фронт. У клиента не было доказательств, которые можно предъявить хостингам и регистраторам, — а без них любые юридические действия бессмысленны.

Я собрал пакет: 35 документов с атрибуцией каждого домена (где хостится, кто регистратор, связи между сайтами, общие паттерны инфраструктуры) и 11 готовых писем для подачи. Пакет подготовлен и лежит у клиента, готовый к работе.

Честно о финале

Исправлял дыры не я. Внутрь сервера меня не пустили — работа была чисто внешняя.

Моя часть — найти, доказать и объяснить. Клиент получил полный отчёт и дальше закрывал проблемы сам, своими силами и своим подрядчиком. На момент проверки ни одна из девяти критичных дыр не была закрыта — но процесс пошёл именно после того, как риски перестали быть абстракцией и стали цифрами.

Что это значит для вас

Если ваш ресурс принимает платежи, хранит клиентские данные или уже сталкивался с атаками — внешний аудит почти всегда вскрывает то, о чём вы не знали. Не потому, что вы плохо работаете, а потому, что смотреть на систему глазами противника — отдельная работа.

Стоит задуматься об аудите, если:

вы не можете честно сказать, что именно видит атакующий на вашем сайте;
подрядчик отвечает «всё под контролем», но не может показать, как он это проверял;
вы готовитесь к инвестициям, аудиту или выходу на новый рынок;
у вас есть «что терять» — база клиентов, платежи, репутация.

Короткие ответы на частые вопросы

Нужен ли вам доступ внутрь сервера? Нет. Именно это и показал кейс: полноценный внешний аудит не требует логинов и конфигов. Вы сразу видите то, что доступно любому снаружи.

Это легально? Да. Только по договору и с письменного согласия владельца ресурса. Проверка устойчивости — в согласованном окне, с ведома клиента.

Что я получу на выходе? Полный отчёт с приоритетами и рекомендациями: не «список ужасов», а план действий — что критично, что срочно, что можно отложить.

Главный вывод

Внешний аудит ценен не тем, что успокаивает, а тем, что снимает иллюзию. Защита на витрине и реальная устойчивость — разные вещи. Значит только одно: что реально может сделать тот, кто приходит снаружи.

Если ваш ресурс под атакой, а подрядчик говорит «всё под контролем» — это стоит проверить независимо. Хотите понять, что на самом деле видит атакующий на вашем сайте и сервере, — напишите мне.