Пассивная и активная проверка: в чём разница

Пассивная проверка собирает то, что уже видно снаружи, не отправляя запросов-проверок к вашему сервису:

• обнаружение поддоменов и хостов из открытых источников (DNS, журналы сертификатов, пассивные данные)
• какой стек виден по сертификату и заголовкам ответа
• лента уязвимостей по этому стеку (CVE, БДУ ФСТЭК, GHSA/OSV, EUVD, CIRCL) с приоритетом KEV / EPSS / наличия эксплойта
• гигиена периметра: срок домена, параметры SSL, инвентарь и новые поддомены

Результат пассива обычно имеет статус `probable` — совпадение по версии или сигнатуре, сигнал разобрать, а не доказательство. Исключение — гигиена: просроченный сертификат или истекающий домен наблюдаются напрямую и сразу `confirmed`.

Пассив безопасен по определению и доступен на бесплатном Радаре — подтверждение домена для него не требуется.

Активная проверка делает безопасные запросы к вашему периметру, чтобы отличить уязвимое поведение от исправленного. Это то, что превращает `probable` в `confirmed`.

Что считается безопасным: проверка ответов и заголовков, параметров TLS (через testssl и аналоги), поведения, которое отличает патч от его отсутствия — без разрушающих действий и без нагрузки.

Чего активная проверка не делает:

• не выкачивает и не хранит содержимое ваших данных — только факт (порт, тип ответа, версия)
• не ломает сервис и не создаёт нагрузку
• не гоняет публичные эксплойты по вашему прод-серверу

Подробнее про статусы и почему совпадение ≠ взлом: как понять, касается ли CVE вас.

Активные проверки запускаются лишь после того, как вы подтвердили владение доменом (TXT-запись в DNS). Это и вопрос легальности, и защита: мы не обращаемся к тому, что вам не принадлежит.

Подтверждение не бессрочно: перед активными фазами владение перепроверяется. Если запись пропала — активные проверки останавливаются, остаётся пассив.

Поэтому порядок такой: пассив виден сразу и бесплатно, активные проверки — после подтверждения домена на платном плане.

Принцип минимального доказательства: в находке храним факт — номер порта, тип ответа, увиденную версию, — но не содержимое ваших данных. Данные целей не выкачиваем и не храним.

Запросы идут с лимитом по объёму и времени, без переходов на внутренние адреса, с фиксированных исходящих IP и с соблюдением частоты. Это отличает подход и от шумного сканера, который кричит «критично» на любое совпадение, и от «автономного хакера».

Для гигиены и типового стека (включая Битрикс / 1С) это обычные безопасные проверки; эксплуатация с нагрузкой сюда не входит.

Проверки с реальной нагрузкой и доступом (логика доступа вроде IDOR, API, LLM — с тестовыми аккаунтами) — это глубокий анализ. Он не входит в обычную активную проверку и запускается только по отдельному явному согласию.

Согласие — это отдельная запись: на какой домен и область, на какой срок, кто и когда выдал. Без неё глубокие фазы не стартуют, даже если домен подтверждён.

Коротко, без обещаний того, чего нет:

• Радар (бесплатно): только пассив — обнаружение, лента уязвимостей по стеку (`probable`), гигиена (часть сразу `confirmed`)
• Контур: активные безопасные проверки, повышение `probable → confirmed`, перепроверка после фикса
• Контур Бизнес: всё из Контура + глубокий анализ (S4) по явному согласию

Начать можно с пассива бесплатно: добавить домен в Радар. Активные проверки включатся после подтверждения DNS на платном плане.