Этичный хакинг: что это простыми словами и что законно в РФ

Этичный хакинг простыми словами: взлом по приглашению

Этичный хакинг означает, что компания сама нанимает специалиста, чтобы он попробовал её взломать. Он использует те же приёмы, что и настоящие атакующие, но действует по договору, в оговорённых рамках и в конце пишет отчёт: какие дыры нашёл, как их подтвердил и что с ними делать. Результат работы получает владелец системы, а не третьи лица.

Удобная аналогия: владелец банка платит человеку, чтобы тот проверил, можно ли незаметно попасть в хранилище. Если проверяющий нашёл открытую форточку, банк получает схему и рекомендации. Грабитель, нашедший ту же форточку, забирает деньги. Навык один и тот же, разница в согласии владельца и в том, кому достаётся результат.

Слово «этичный» здесь описывает не моральные качества человека, а юридический статус конкретной работы. Самый честный исследователь, который полез в чужой сайт без разрешения «из любопытства», с точки зрения закона действует так же, как злоумышленник.

Белые, серые и чёрные шляпы

Деление хакеров по цвету шляпы пришло из старых вестернов, где хорошие герои носили белые шляпы, а злодеи чёрные. В кибербезопасности его используют до сих пор, потому что оно быстро объясняет главное: у кого есть разрешение и куда уходят найденные уязвимости. Цвет определяет поведение, а не уровень навыков.

• Белая шляпа (white hat). Работает только с разрешения: по договору на пентест, внутри компании или в рамках официальной программы багбаунти. Находки уходят владельцу системы.
• Серая шляпа (grey hat). Ищет уязвимости без приглашения, но без цели навредить, а потом сообщает о них владельцу, иногда намекая на вознаграждение. Звучит благородно, но в России такой поиск юридически ничем не защищён.
• Чёрная шляпа (black hat). Взламывает ради денег, данных или вреда: крадёт базы, шифрует сервера, продаёт доступы.

Начинающим стоит запомнить неприятную деталь про «серых». Многие новички искренне считают себя этичными, потому что «ничего не украли и сами написали админу». Закон смотрит не на намерения, а на факт неправомерного доступа, поэтому серая зона для российского исследователя на практике ближе к чёрной, чем к белой.

Где проходит граница закона в России

В России отдельного статуса «белого хакера» в законе нет, поэтому всё решает разрешение владельца системы. Неправомерный доступ к компьютерной информации наказывается по статье 272 УК РФ, создание и распространение вредоносных программ по статье 273. По разбору статей на SecurityLab, базовый состав 272-й предусматривает до 2 лет лишения свободы, квалифицированные составы до 4 лет, а при тяжких последствиях до 7 лет.

Попытка изменить ситуацию была. Законопроект о легализации «белых хакеров» предлагал разрешить поиск уязвимостей без предварительного согласия владельца, если исследователь потом уведомит его о находке. Летом 2025 года Госдума его отклонила. Как пишет Anti-Malware.ru, профильный комитет нашёл противоречия с законами о государственной тайне и о защите критической информационной инфраструктуры, а автор инициативы Антон Немкин заявил, что внесёт документ повторно в составе пакета законов.

Второй нюанс менее очевиден. Эксперт Евгений Царёв в колонке на SecurityLab напоминает, что анализ защищённости относится к лицензируемым видам деятельности. Поэтому коммерческие пентесты обычно делают компании с лицензией, а частное лицо безопаснее всего работает либо в штате такой компании, либо через багбаунти-платформу, где правила игры прописаны заранее.

Тренироваться можно на своих виртуальных машинах, на учебных полигонах и в программах, где владелец явно пригласил искать уязвимости. Всё остальное, включая «просто посмотрел, открыт ли порт у сайта знакомого», лучше не делать.

Из чего состоит работа этичного хакера

Типичный проект этичного хакера идёт по понятным этапам, и большая часть времени уходит не на сам взлом, а на подготовку и отчёт. Сначала заказчик и исполнитель письменно согласуют scope: какие адреса, приложения и учётные записи можно атаковать, в какие часы и какими методами. Без этого документа работа не начинается.

1. Разведка. Сбор открытых сведений о цели: поддомены, сотрудники, используемые технологии. Эта часть пересекается с OSINT, разведкой по открытым источникам.
2. Сканирование. Поиск открытых портов, устаревших версий программ, ошибок конфигурации. Здесь в ход идут Nmap, Burp Suite и сканеры уязвимостей.
3. Эксплуатация. Попытка реально воспользоваться найденной слабостью, чтобы доказать, что риск не теоретический.
4. Закрепление и продвижение. Проверка, как далеко можно пройти внутри сети с полученным доступом.
5. Отчёт. Описание каждой уязвимости, шаги воспроизведения, оценка критичности и рекомендации по исправлению.

Отчёт часто недооценивают. Найти дыру мало, нужно объяснить её так, чтобы разработчик понял, что чинить, а руководитель понял, почему это срочно. Специалист, который хорошо пишет отчёты, обычно ценится выше коллеги с похожими техническими навыками, но невнятными текстами.

Этичный хакинг, пентест, багбаунти и Red Team

«Этичный хакинг» служит зонтичным термином, а под ним живут несколько разных форматов работы. В вакансиях почти никогда не пишут «этичный хакер», там ищут пентестера, багхантера или специалиста Red Team. Путаница в названиях мешает новичкам понять, куда именно они хотят прийти.

• Пентест. Проверка конкретной системы за ограниченный срок по договору. Самый массовый формат, подробно разобран в гайде как стать пентестером с нуля.
• Багбаунти. Компания публикует программу с правилами и наградами, а любой зарегистрированный исследователь ищет уязвимости и получает деньги за принятые отчёты.
• Red Team. Долгая имитация реальной атаки на всю организацию, включая людей и процессы, с проверкой того, заметит ли её защита. Чем атакующая Red Team отличается от защитной Blue Team, разобрано в отдельной статье.
• Исследование защищённости продукта. Глубокий разбор конкретного ПО или устройства, часто внутри компании-разработчика.

Если выбирать стартовую точку, багбаунти и пентест различаются сильнее всего по стабильности. Пентестер получает зарплату независимо от того, нашёл ли он критичную уязвимость на этой неделе. Багхантер получает деньги только за принятые находки, поэтому для большинства новичков это скорее подработка и способ собрать портфолио, чем основной доход.

Сколько платят за легальный взлом: цифры багбаунти

Российский рынок багбаунти в 2025 году заметно вырос, и это самый прозрачный способ увидеть, сколько стоит найденная уязвимость. По данным Anti-Malware.ru, за год белые хакеры нашли 13 690 уязвимостей в российских компаниях и госучреждениях на двух крупнейших платформах, Standoff Bug Bounty от Positive Technologies и BI.ZONE Bug Bounty.

• Standoff Bug Bounty: 7 870 отчётов, 2 909 закрытых уязвимостей, 233 программы, средняя награда 65 416 ₽, максимальная 4,97 млн ₽.
• BI.ZONE Bug Bounty: 5 800 отчётов, около 2 500 закрытых уязвимостей, 150 программ, средняя награда 40 000 ₽, максимальная 1,8 млн ₽.

За год Standoff Bug Bounty выплатил исследователям 161 млн ₽, BI.ZONE Bug Bounty около 100 млн ₽. По оценке представителя Standoff Bug Bounty, которую приводит ComNews, при сохранении темпа рынок может дойти до 1 млрд ₽ в год в течение трёх лет.

Средняя награда в 40-65 тысяч рублей считается по принятым отчётам, а большая часть присланных отчётов не принимается: дубликаты, уязвимости вне scope, находки без реального риска. Чаще всего, по данным того же обзора Anti-Malware.ru, находят ошибки контроля доступа (IDOR), когда пользователь может открыть чужие данные, подменив идентификатор в запросе. Для новичка это хорошая новость: такие баги ищут не экзотическими эксплойтами, а внимательностью и пониманием логики приложения.

Зарплаты штатных специалистов по грейдам мы собрали на странице профессии «Специалист по кибербезопасности», там же видно, как доход растёт от джуна к сеньору.

Что нужно знать, чтобы начать

Этичный хакер опирается на базу, без которой инструменты превращаются в набор непонятных кнопок. Прежде чем запускать сканеры, нужно понимать, как устроены сети, операционные системы и веб-приложения. Именно на этих темах чаще всего «сыпятся» те, кто начал сразу с Kali Linux и роликов про взлом. Когда редакция сверяла описания пяти «хакерских» программ из каталога SkillEdge, только в комплекте Merion защита сетей и безопасность ОС прямо названы стартовым блоком. Остальные школы в описаниях обещают сразу «искать уязвимости», поэтому наличие базового модуля стоит проверять по полной программе курса.

• Сети: модель TCP/IP, DNS, HTTP и HTTPS, как ходит трафик между клиентом и сервером.
• Linux и Windows: права доступа, процессы и службы, а в корпоративных сетях ещё и Active Directory, через которую на внутренних пентестах чаще всего добираются до учётных записей администраторов.
• Веб: как работают формы, cookie, сессии и базы данных, откуда берутся SQL-инъекции и XSS.
• Скрипты: Python или Bash на уровне автоматизации рутины, без глубокой разработки.
• Английский на уровне чтения документации.

Практиковаться легально можно на CTF-соревнованиях и учебных полигонах вроде Hack The Box и TryHackMe, где уязвимые машины созданы специально для тренировки. Из российских площадок стоит посмотреть кибериспытания на Standoff 365. Такой опыт, оформленный в разборы и отчёты, работодатели читают охотнее, чем строчку о пройденном курсе.

Три мифа, которые мешают новичкам

Самый живучий миф звучит так: этичному хакеру нужно уметь всё, от криптографии до взлома спутников. На практике специалисты быстро уходят в узкую нишу: веб-приложения, мобильные приложения, инфраструктура Active Directory, беспроводные сети. Начинать удобнее всего с веба, потому что там больше учебных материалов и багбаунти-программ.

Второй миф связан с инструментами. Кажется, что достаточно поставить Kali Linux, запустить сканер и получить список уязвимостей. Автоматический сканер действительно что-то найдёт, но такие находки обычно уже обнаружены до вас, и в багбаунти их отклоняют как дубликаты. Деньги и карьеру делают ошибки бизнес-логики, которые сканер не видит: скидку можно применить дважды, чужой заказ открывается по прямой ссылке, проверка роли делается только в интерфейсе.

Третий миф касается сертификатов. Международные сертификации вроде OSCP или CEH ценятся, но для первой работы в России важнее подтверждённая практика: решённые задачи на полигонах, принятые отчёты на багбаунти, участие в CTF. Сертификат помогает пройти фильтр резюме, а на собеседовании всё равно попросят рассказать, как именно вы нашли конкретную уязвимость.

Как выстроить путь от нуля до первой работы

Путь в этичный хакинг даже при регулярных занятиях измеряется скорее годами, чем месяцами, и почти никто не начинает сразу с позиции пентестера. Типичная траектория проходит через смежную роль: системного администратора, сетевого инженера, специалиста SOC или тестировщика. Там нарабатывается понимание того, как системы устроены изнутри, без которого атаковать их вслепую.

Для самостоятельной подготовки подходит такая последовательность. Первые месяцы уходят на сети и Linux, затем на основы веба и одного скриптового языка. После этого начинается практика на учебных полигонах с простыми машинами, а параллельно стоит регистрироваться на багбаунти-платформах и читать опубликованные отчёты других исследователей. Чужие отчёты показывают, как мыслят опытные багхантеры, лучше любой лекции.

Портфолио этичного хакера отличается от портфолио разработчика. Вместо репозитория с кодом в нём разборы пройденных машин (только тех, которые правила площадки разрешают публиковать), райтапы с CTF и, если повезёт, ссылки на принятые отчёты. Даже два-три аккуратных разбора с понятной логикой поиска производят на работодателя больше впечатления, чем список из десяти пройденных курсов.

Курс на этом пути полезен как структура и проверка заданий, а не как замена практике. В нашем каталоге у программ по этичному хакингу, где школа указала срок, он составляет 6 и 9 месяцев, то есть даже длинная «профессия» закрывает только часть пути до первой работы. Выбирая программу, сравнивайте не только цену, но и объём лабораторных работ: именно их потом можно превратить в материал для портфолио.

Курсы по этичному хакингу: что показывает каталог

В каталоге SkillEdge 18 платных программ по кибербезопасности с указанной ценой, от 12 410 до 225 000 ₽. Пять из них прямо называются «этичный хакинг», «белый хакер» или «пентестер», и уже на этой выборке видно, насколько по-разному школы упаковывают одну тему.

Разница между самым дешёвым и самым дорогим вариантом больше чем в восемь раз. При сравнении программ на SkillEdge редакция обратила внимание на деталь, которая для этой темы важнее цены: только в описании комплекта Merion прямо сказано, что сценарии атак отрабатываются в изолированной среде. В описаниях остальных четырёх программ в нашем каталоге ни слова о правовых рамках или учебном полигоне, есть только общие обещания «научитесь искать уязвимости».

Короткий недорогой курс подходит, чтобы проверить интерес и разобраться в базе, а дорогую «профессию» имеет смысл брать, когда вы уверены в направлении и вам нужна менторская проверка заданий. Перед оплатой любой программы спросите школу о трёх вещах: есть ли собственная лаборатория для практики, разбирают ли правовые ограничения и учат ли писать отчёт. Сравнить программы по цене, сроку и наличию трудоустройства удобно в каталоге курсов по кибербезопасности или в инструменте сравнения.

Кому подходит этичный хакинг

Этичный хакинг подходит людям, которым интереснее разбирать, как система ломается, чем строить её с нуля, и которые готовы много читать документацию. Работа больше похожа на расследование, чем на сцены из фильмов: долгие проверки гипотез, большинство из которых не подтверждаются, и аккуратная фиксация каждого шага.

Хорошие сигналы: вам нравится CTF или головоломки, вы не бросаете задачу после третьей неудачной попытки, вам не скучно писать подробные тексты. Тревожные сигналы: вас привлекает в первую очередь образ «хакера в капюшоне» или ожидание быстрых денег с багбаунти. Средняя награда за принятый отчёт выглядит красиво, но до первой принятой находки у новичка могут пройти месяцы.

Если сомневаетесь между атакующей и защитной стороной, начните с общей базы по ИБ и посмотрите разбор чем пентестер отличается от специалиста по ИБ. Защитная сторона даёт больше вакансий для старта, атакующая чаще требует уже накопленного опыта в сетях и администрировании.