Анализ защищенности информационной системы и тестирование на проникновение (PENTEST) — это практическая проверка адекватности реализованных механизмов защиты информации существующим угрозам и рискам
Проведение анализа защищенности информационной системы предоставляет Заказчику объективную информацию, содержащую:
- Актуальные и независимые данные о состоянии применяемых технических мер и средств защиты информации
- Рекомендации и варианты технических решений, способных повысить уровень безопасности информационной системы с учетом лучших мировых практик в области защиты информации
При анализе защищенности информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением.
При проведении теста на проникновение решаются следующие задачи:
- Выявление технических недостатков, которые могут быть использованы для осуществления вредоносных действий в отношении Заказчика, его партнеров или его клиентов. Данная задача решается методами "тестирование серого ящика", "тестирования белого ящика", "тестирование черного ящика"
- Анализ критичности найденных недостатков, а также поиск и описание сценариев атак, реализующих максимальный ущерб в отношении Заказчика, его партнеров или клиентов
- Включение в разработанную модель угроз категорий нарушителей ИТ-системы. Проведение оценки уровня защищенности ИТ-системы относительно сформированных категорий нарушителей
- Формирование конкретных практических рекомендаций по устранению найденных недостатков
- Формирование общих методических рекомендаций по модификации существующих ИТ-процессов; рекомендации направлены на минимизацию количества аналогичных недостатков в дальнейшем
В состав работ входят
- Внешний тест на проникновение. Тестирование проводится из сети Интернет и затрагивает внешние сервисы Заказчика. При проведении внешнего теста на проникновение из сети Интернет проводятся следующие работы
- поиск общедоступной информации о Заказчике с помощью поисковых систем, сбор и анализ информации, полученной через регистрационные базы данных (регистраторы имен и адресов, DNS, Whois и т. п.)
- сбор информации о доступных из сетей общего доступа ресурсах информационных систем Заказчика (сетевых сервисах, операционных системах и приложениях)
- анализ внешних веб-ресурсов Заказчика с точки зрения обеспечения безопасности
- выявление уязвимостей ресурсов, способных привести к возможности осуществления несанкционированных воздействий на них
- разработку векторов и методов проникновения с учетом анализа полученных данных
- Внутренний тест на проникновение. Тестирование проводится из вычислительной сети Заказчика. При проведении теста на проникновение из локальной сети проводятся следующие работы:
- сбор и анализ информации о локальной сети Заказчика
- попытки получения учетных записей и паролей пользователей и администраторов информационных систем Заказчика
- тестирование на проникновение на сетевом уровне, попытки перехвата сетевого трафика в пользовательских сегментах
- попытки получения несанкционированного доступа к серверам, базам данных, компьютерам пользователей с использованием уязвимостей программного обеспечения, сетевого оборудования, некорректных настроек и найденных учетных записей
- Анализ защищенности беспроводных сетей. При проведении анализа защищенности беспроводных сетей проводятся следующие работы
- обнаружения точек доступа и сбора информации с использованием автоматизированных средств
- проведение самых распространенных атак на беспроводные сети стандарта 802.11
- Социотехнический тест на проникновение. При проведении атак на компьютеры пользователей с применением методов социальной инженерии проводятся следующие работы:
- сбор и анализ общедоступной информации о сотрудниках Заказчика
- согласование с Заказчиком результатов этапа сбора информации и формирование списка целей
- формирование сценариев атак и подготовительные действия к ним
- непосредственно атаки на сотрудников Заказчика с применением методов социальной инженерии с целью получения удаленного контроля над их рабочими станциями
- Рекомендации по повышению текущего уровня защищенности информационных систем Заказчика. В ходе разработки Отчета по результатам проведения тестирования на проникновение и рекомендаций по повышению текущего уровня защищенности информационных систем Заказчика проводятся следующие работы:
- разработка детализированного отчета о ходе проведения теста на проникновение, содержащего описание и подтверждение реализованных векторов проникновения
- разработка рекомендаций по устранению наиболее значимых выявленных уязвимостей в операционных системах и сетевых сервисах (уязвимостей, способных привести к несанкционированному доступу и другим деструктивным действиям на узлах сети) информационных систем Заказчика
- разработка общих рекомендаций по повышению текущего уровня защищенности информационных систем Заказчика
Зачем это нужно?
- Снизит риск эксплуатации существующих уязвимостей
- Обеспечить непрерывность бизнес-процессов
- Выполнить соответствующие требования стандартов: СТО БР РФ, PCI DSS, ISO27001 и др.