Оновлено 3 листопада 2026 року.

Пентест чи сканування вразливостей: що обрати

Два найпоширеніші запитання, з якими приходять клієнти: «Чим відрізняється пентест від сканування вразливостей?» і «Що потрібно саме нам?». Часто компанії купують одне, а чекають результату від іншого. Потім з'ясовується, що звіт зі сканера не відповідає на питання аудитора, або що тест на проникнення замовили там, де вистачило б регулярної перевірки.

Нижче розбираємо, чим ці дві послуги відрізняються, коли потрібна кожна, як їх поєднати і на що дивитися, коли обираєте виконавця.

Що таке сканування вразливостей

Сканування вразливостей це автоматична перевірка систем на відомі проблеми. Спеціальна програма (сканер) обходить сервери, мережеве обладнання, вебзастосунки й порівнює побачене з базами відомих вразливостей. Кожній вразливості в таких базах присвоєно номер CVE: загальний ідентифікатор, за яким знаходять опис проблеми та інформацію про виправлення.

Сканер перевіряє версії програмного забезпечення, налаштування, відкриті порти, застарілі протоколи, відсутні оновлення безпеки. Він швидкий, його можна запускати регулярно, і він не втомлюється. Результат це список знайдених проблем з оцінкою критичності.

Чого сканер не робить: не перевіряє, чи можна пройти від однієї дрібної слабкості до справжньої шкоди, не розуміє логіку вашого бізнесу і не знає, що саме в цій системі найцінніше. Він знаходить те, що вже відоме й описане. Але це не означає, що знахідки сканера другорядні: частина відомих вразливостей потрапляє до каталогу CISA Known Exploited Vulnerabilities, тобто тих, якими користуються в реальних атаках. Закривати їх потрібно вчасно.

Як це виглядає як послуга, описано на сторінці сканування вразливостей.

Що таке пентест

Пентест, або тест на проникнення, це керована імітація атаки. Фахівець діє як зловмисник, але з вашого дозволу і за узгодженими правилами. Сканери він використовує як допоміжний інструмент, а головна робота ручна: перевіряє логіку застосунку, права доступу, помилки в авторизації, слабкі місця в інтеграціях, поєднує кілька дрібних недоліків у ланцюжок.

Приклад. Сканер бачить окремо «застарілий компонент» і «зайві права у службового акаунта» та ставить обом середню критичність. Пентестер показує, що разом вони дають доступ до бази клієнтів. У автоматичному звіті такої знахідки не буде, бо вона виникає на стику кількох фактів.

Результат пентесту це не просто перелік. Це підтверджені сценарії атак: що зроблено, до чого вдалося дістатися, наскільки це небезпечно для бізнесу і що виправляти насамперед.

Окремий різновид, який часто потрібен, це оцінка безпеки вебзастосунків: перевірка сайту, особистого кабінету, API. Для загального розуміння теми є матеріал що таке пентест простими словами.

Порівняння: п'ять ознак

Метод. Сканування це автоматичний обхід за базою відомих вразливостей. Пентест це переважно ручна робота експерта з використанням автоматичних засобів.

Глибина. Сканування показує поверхню: що видно і що відоме. Пентест перевіряє, чи можна цим скористатися, наскільки далеко вдасться зайти і чи зупинять вас наявні засоби захисту.

Хто виконує. Сканування може запускати ваш ІТ-відділ або підрядник за налаштованим шаблоном. Для пентесту потрібен досвідчений спеціаліст, який вміє думати як нападник і розуміє бізнес-контекст.

Що отримує компанія. Від сканування: список вразливостей за критичністю. Від пентесту: сценарії атак з доказами, оцінку реального ризику для бізнесу і рекомендації за пріоритетами.

Як часто. Сканування краще робити регулярно, наприклад щокварталу, а за потреби й частіше. Пентест зазвичай роблять раз на рік і після суттєвих змін.

Орієнтир за вартістю і часом

Точну ціну не можна назвати без обсягу: кількості систем, типу середовища, глибини перевірки. Як орієнтир: сканування вразливостей коштує від $1 000 до $3 000 і займає кілька днів. Пентест коштує від $5 000 до $15 000: для вебзастосунку орієнтир починається від $5 000, для комплексної інфраструктури може бути $15 000 і більше. Він триває кілька тижнів. Це діапазони «від і до», кінцева сума залежить від обсягу робіт і складності системи. З чого складається ціна, докладніше в матеріалі скільки платять за пентест.

Коли достатньо сканування

Сканування доречне, коли завдання в тому, щоб регулярно бачити відомі проблеми й вчасно їх закривати. Зазвичай так, якщо:

• потрібен постійний моніторинг: нові сервери, нові версії, нові відкриті порти;

• бюджет обмежений, а систем багато, і треба швидко зрозуміти, з чого починати;

• ви перевіряєте, чи виправлено те, що знайшли раніше, і чи не повернулась проблема після оновлення;

• система проста, не обробляє чутливих даних, а вимог від регулятора чи клієнтів немає.

Сканування корисне і як підготовка до пентесту. Якщо в системі десятки очевидних проблем, ручна перевірка зарано: фахівець витратить час на знахідки, які закрив би і сканер.

Коли потрібен пентест

Пентест потрібен, коли питання звучить не «що в нас застаріле», а «чи зможе хтось реально завдати шкоди». Основні випадки такі.

Вимоги стандартів. Деякі стандарти називають обидві практики прямо. У PCI DSS (стандарт безпеки даних платіжних карток, версія 4.0.1) це розділ 11:

• вимога 11.3 про сканування вразливостей: внутрішнє й зовнішнє сканування щонайменше раз на три місяці, а зовнішнє виконує схвалений PCI SSC сканувальний вендор (ASV). Вразливості високого й критичного ризику треба усунути та підтвердити повторним скануванням;

• вимога 11.4 про пентест: внутрішній і зовнішній тест на проникнення за визначеною методикою щонайменше раз на 12 місяців і після будь-якого суттєвого оновлення чи зміни інфраструктури або застосунку. Виконує його кваліфікований виконавець з організаційною незалежністю.

Тобто в PCI DSS це два різні обов'язки з різними строками, і одне не замінює інше.

ISO/IEC 27001:2022 говорить мовою процесу. Контроль A.8.8 «Управління технічними вразливостями» вимагає, щоб організація отримувала інформацію про технічні вразливості своїх систем, оцінювала, наскільки вона їм піддається, і вживала відповідних заходів. Конкретного методу контроль не називає. На практиці сканування дає регулярний потік інформації, а пентест показує, як ці вразливості виглядають у реальній атаці. Аудитору легше повірити у вашу систему, коли є і те, і те.

Перед релізом. Якщо ви запускаєте новий вебзастосунок, платіжний модуль чи особистий кабінет, пентест до виходу дозволяє виправити помилки дешевше, ніж після інциденту. Особливо там, де є авторизація, платежі чи персональні дані.

Після суттєвих змін. Нова архітектура, перехід у хмару, нова інтеграція, зміна постачальника, злиття компаній: після таких подій попередній звіт уже не описує реальний стан. PCI DSS прямо вимагає тестування після суттєвих змін, і це розумний підхід навіть там, де такого стандарту немає.

Перед аудитом SOC 2 чи сертифікацією ISO 27001. Ми не стверджуємо, що пентест обов'язковий для кожного аудиту: вимоги залежать від вашої системи, обраного обсягу і позиції аудитора. Але свіжий звіт і підтвердження, що знахідки опрацьовано, на практиці спрощують розмову з аудитором. Очікування краще з'ясувати заздалегідь.

Чутливі дані й критичні системи. Банківські, платіжні, медичні сервіси, великі бази клієнтів, системи, зупинка яких коштує дорого. Тут сканера недостатньо.

Якщо ви вже визначили, що потрібна саме така перевірка, можна замовити пентест і спочатку узгодити обсяг: від нього залежать і строк, і сума.

Як поєднати в програму

Найкраща модель це не вибір «або-або», а два ритми роботи.

Перший ритм швидкий: регулярне сканування, наприклад щокварталу (для PCI DSS це мінімум), плюс сканування після кожної суттєвої зміни. Воно тримає в порядку відомі проблеми й не дає їм накопичуватись.

Другий ритм повільний: пентест раз на рік і після великих змін, а також перед важливими подіями: релізом, аудитом, виходом на новий ринок.

Між ритмами є зв'язок. Дані сканування допомагають пентестеру: показують, які сервіси є і де вже відомі слабкості. А висновки пентесту варто повертати у сканування: якщо тест знайшов тип проблеми, яку сканер пропустив, її треба додати до перевірок, щоб наступного разу дізнатись про неї швидше.

Робочий порядок на рік може бути таким:

• щокварталу сканування всіх зовнішніх і ключових внутрішніх систем;

• кожна знахідка високої та критичної ваги має власника і строк;

• раз на рік пентест найважливіших систем, обсяг якого враховує результати сканувань;

• після суттєвої зміни позачергове сканування, а для нових чи перероблених критичних систем ще й пентест.

Знайти проблему це половина справи, друга половина в тому, щоб закрити її вчасно. Програма без власників знахідок і строків перетворюється на архів звітів.

Як вибрати підрядника

Ось що варто перевірити перед підписанням договору.

Обсяг і межі. Підрядник має ставити запитання: що в обсязі, що поза ним, які системи не можна чіпати, коли вікна тестування. Якщо вам називають ціну без жодного запитання, це тривожний знак.

Методика. Попросіть пояснити, за якою методикою працює команда і як будуються сценарії. Фраза «ми використовуємо найкращі інструменти» методикою не є. Для PCI DSS методика має бути визначена й задокументована.

Ручна робота. Запитайте, яку частку становить ручна перевірка. Якщо «пентест» це по суті звіт сканера в новій обгортці, ви платите не за те.

Досвід і кваліфікація. Хто саме проводитиме тест і який у нього досвід саме з вашим типом систем (вебзастосунки, мережі, хмара, мобільні додатки). Попросіть приклад знеособленого звіту, без назв клієнтів.

Незалежність. Особливо важливо, якщо це потрібно для стандарту: той, хто тестує, не має відповідати за систему, яку тестує.

Безпека самого проєкту. Угода про нерозголошення, правила обробки ваших даних, порядок зберігання звіту, що відбувається, якщо під час тесту щось «впало». Звіт про вразливості це чутливий документ.

Комунікація. Як виконавець повідомляє про критичні знахідки: після завершення чи одразу. Знахідка, що дозволяє читати базу клієнтів, не повинна чекати кінця проєкту.

Що має бути у звіті

Хороший звіт про пентест корисний двом аудиторіям: керівнику, який вирішує про пріоритети, і технічній команді, яка виправляє. У ньому має бути:

• короткий виклад для керівництва: що тестували, що виявили, головні ризики простою мовою;

• обсяг і методика: які системи, у який період, з яких позицій (ззовні, зсередини, з обліковим записом користувача);

• для кожної знахідки: опис, місце, критичність з обґрунтуванням, докази (знімки екрана, запити, кроки відтворення);

• реалістичні сценарії атаки, а не лише окремі вразливості;

• практичні рекомендації з виправлення, впорядковані за пріоритетом;

• застереження: що не перевірялось і які обмеження були під час робіт.

Якщо звіт це сотня сторінок виводу сканера без пояснень, на його основі не можна ухвалювати рішення, а аудитор навряд чи прийме його як доказ реальної перевірки.

Типові помилки

• Купувати пентест як сканування. Очікувати «повну перевірку всього» без уточнення обсягу. Пентест завжди має межі, і їх треба знати.

• Замінювати пентест сканером. Звіт сканера не показує, чи можна вразливість реально використати і до чого це призведе.

• Робити пентест без попереднього сканування. Тоді експерт витрачає дорогий час на очевидне.

• Тестувати рідко й лише для галочки. Звіт, зроблений торік для іншої версії системи, мало що каже про сьогодні.

• Не призначати власника знахідок. Без відповідальної людини і строку звіт лягає в шухляду.

• Не питати про обсяг. Після інциденту виявляється, що вразливе місце просто не входило в перевірку.

• Ігнорувати відмінність середовищ. Тестувати лише бойову систему без попередження команди або лише копію, що не схожа на реальну, однаково погано.

• Вважати звіт кінцем. Цінність дає не документ, а виправлення.

Часті запитання

Чи замінює сканування пентест?

Ні. Це різні перевірки з різними цілями. Сканування регулярно показує відомі вразливості, а пентест перевіряє, чи можна реально скористатися слабкостями і як далеко вдасться зайти. У PCI DSS, наприклад, це окремі вимоги з окремими строками.

Скільки коштує пентест в Україні?

Орієнтир: від $5 000 за вебзастосунок до $15 000+ за комплексну інфраструктуру. Це діапазон «від і до»: кінцева сума залежить від обсягу, кількості систем і глибини перевірки.

Як часто потрібен пентест?

Мінімум раз на рік і після суттєвих змін у системі. Саме так сформульовано вимогу PCI DSS 11.4. Для сканування типовий ритм це раз на квартал.

Що ми отримаємо за результатами?

Звіт, у якому описано знахідки, сценарії атак з доказами, рівні ризику та рекомендації з виправлення за пріоритетами. Окремо має бути короткий виклад для керівництва.

Чи потрібен пентест для ISO 27001?

Контроль A.8.8 вимагає керувати технічними вразливостями: отримувати інформацію про них, оцінювати вплив і вживати заходів. Слова «обов'язковий пентест» у його змісті немає, але тест на проникнення добре підтверджує, що ви справді перевіряєте захист. Точні очікування краще уточнити в органу сертифікації.

Чи потрібен пентест, якщо вже є щоквартальне сканування?

Так, це найкраще поєднання. Результати сканувань допомагають пентестеру швидше зрозуміти вашу інфраструктуру, а пентест показує те, чого сканер не бачить.

Не впевнені, з чого почати? Опишіть свою систему, і ми підкажемо, чи вистачить сканування, чи потрібен пентест. Якщо вже зрозуміло, що потрібен, можна замовити тест на проникнення.