Чёрный ящик (black box)
Простыми словами
Тестирование методом чёрного ящика проводится без внутренней информации о реализации или с минимальным её объёмом. Специалист видит систему примерно так, как внешний пользователь, и строит проверки по доступным интерфейсам и наблюдаемому поведению.
Как применяется
Метод применяют для внешнего пентеста, проверки публичного приложения и оценки того, что может обнаружить атакующий без доступа к коду. Границы, разрешённые действия, тестовые учётные записи и критерии остановки всё равно согласуют заранее.
Пример применения
Команда получает адрес веб-приложения и две пользовательские роли, но не получает исходный код и архитектурную схему. Она исследует поверхность атаки, подтверждает нарушение авторизации и передаёт воспроизводимый сценарий владельцу системы.
Не путать с
- СравнениеBlack box ограничивает внутренние сведения; white box предоставляет код, архитектуру и конфигурации, а gray box — выбранную часть информации. Это модель осведомлённости тестировщика, а не уровень качества проверки.
Как это работает
- Согласовать границыФиксируют цели, доступные адреса, роли, запреты и контакт для аварийной остановки.
- Исследовать поверхностьТестировщик обнаруживает доступные функции, технологии, точки входа и поведение системы.
- Проверить гипотезыУязвимости подтверждают безопасными действиями и сохраняют достаточные доказательства.
- Передать результатОтчёт описывает условия, влияние, воспроизведение и рекомендации, после исправления проводят ретест.
Продолжить изучение
Частые вопросы
Только частично: тест ограничен временем, правилами и областью, а реальный атакующий может действовать дольше и без согласованных запретов.
Нужны ли учётные записи?Их могут предоставить для проверки авторизованных функций; метод остаётся чёрным ящиком, если внутренняя реализация не раскрывается.
Что выбрать: black box или white box?Выбор зависит от цели: внешний взгляд полезен для достижимости атаки, а доступ к коду повышает полноту и помогает найти скрытые дефекты.