Главная > Услуги > Тестирование на проникновение

Тестирование
на проникновение

Наша команда 24/7 мониторит все актуальные угрозы в России и за границей, благодаря чему мы первыми узнаем о новых рисках и угрозах бизнесу. Эту экспертизу мы вкладываем в свои продукты и охотно делимся ею с компаниями.

О сервисе

Security Center — комплексная помощь
в выявлении, реагировании и расследовании атак и инцидентов в сфере кибербезопасности

01 - Порядок проведения работ

— Получение предварительной информации о сети заказчика. Используются те же источники информации, которые доступны злоумышленникам (Интернет, новости, конференции).

— Составление карты сети, определение типов устройств, ОС, приложений по реакции на внешнее воздействие.

— Идентификация уязвимостей сетевых служб и приложений.

— Анализ веб-приложений заказчика. С помощью автоматизированных утилит и ручными методами детектируются следующие уязвимости: внедрение операторов SQL (SQL Injection), межсайтовое исполнение сценариев (Cross-Site Scripting), подмена содержимого (Content Spoofing), выполнением команд ОС (OS Commanding), уязвимости, связанные с некорректной настройкой механизмов аутентификации и авторизации и пр.

— Эксплуатации уязвимостей. Методы и инструментарий выбираются индивидуально для каждого типа уязвимости. Используются как общедоступные утилиты, так и инструментарий собственной разработки.

— По согласованию с заказчиком могут проводиться базовые работы по контролю защищенности беспроводных сетей.

— По согласованию с заказчиком может производиться проверка устойчивости внешнего периметра и открытых ресурсов на атаки типа отказа в обслуживании. Производится оценка степени устойчивости сетевых элементов и возможного ущерба при проведении наиболее вероятных сценариев подобных атак.

— Проверка устойчивости сети к атакам на канальном уровне. Производится моделированием атак на протоколы канального уровня STP, VTP, CDP, ARP.

— Анализ сетевого трафика. В случае проведения работ в сети заказчика или при получении такой возможности в ходе эксплуатации уязвимостей проводится анализ сетевого трафика с целью получения важной информации (пароли пользователей, конфиденциальные документы и пр.).

— Проверка устойчивости маршрутизации. Производится моделированием фальсификации маршрутов и проведения атаки типа отказа в обслуживании против используемых протоколов маршрутизации.

— Проверка возможности получения злоумышленником несанкционированного доступа к конфиденциальной информации или информации ограниченного доступа заказчика. Производится проверкой прав доступа к различным информационным ресурсам заказчика с привилегиями, полученными на различных этапах тестирования.

— Полученная в ходе анализа уязвимостей и попыток их эксплуатации информация документируется и анализируется для выработки рекомендаций по улучшению защищенности сети.

02 - Результат работы

Результатом работы будет являться отчет, содержащий:

— Методику проведения теста.

— Выводы для руководства, содержащие общую оценку уровня защищенности.

— Описание выявленных недостатков СУИБ.

— Описание хода тестирования с информацией по всем выявленным уязвимостям и результатам их эксплуатации.

— Рекомендации по устранению выявленных уязвимостей.

— При оценке критичности обнаруженных уязвимостей используется методика Common Vulnerability Scoring System (CVSS), что позволяет использовать результаты тестирования на проникновения в качественных и количественных методиках анализа риска.

Логическим продолжением теста на проникновение могут быть:

Мониторинг защищенности периметра корпоративной сети

Проектирование и внедрение системы управления уровнем защищенности

Проектирование и внедрение систем защиты

Социотехнический тест

В результате успешной атаки злоумышленник может получить контроль над рабочими станциями, получить конфиденциальные документы заказчика, использовать ресурсы заказчика для организации атак на системы других компаний, рассылки спама и пр.

Тест на проникновение проводится с использованием методов социальной инженерии (Social Engineering).

Основной целью проведения теста является выявление уровня осведомленности персонала заказчика о требованиях по информационной безопасности.

В процессе проведения тестирования определяется реакция пользователей и персонала ответственного за информационную безопасность на организационные методы проникновения, используемые злоумышленниками.
Методы социальной инженерии достаточно часто используются злоумышленниками и направлены, как правило, на конечных пользователей.

— Рассылка почтовых/IM сообщений от имени анонимных пользователей и сотрудников заказчика, содержащих ссылки на веб-ресурсы с исполняемым кодом, содержащие исполняемый код в теле письма, содержащие просьбу сменить пароли, переслать пароли или свою персональную информацию и пр.;

— Выборочная проверка исполнения политики «чистого стола» (стикеры с паролями, незаблокированные в отсутствие пользователя консоли, наличие конфиденциальных документов в офисе, доступных посетителям, оставленные без присмотра сотовые телефоны и КПК);
звонки пользователям от имени ИТ и ИБ персонала с просьбами получения/смены пароля, пересылки конфиденциальных документов и пр.;

— Выбор целевых групп пользователей и определение методов тестирования для каждой из групп.

— Проведение теста: рассылка почтовых сообщений, звонки пользователям, выезд в офис заказчика для проведения исследования.

— Использование полученных в результате предыдущих этапов привилегий для получения несанкционированного доступа к ресурсам заказчика (см. Технологический тест на проникновение).

— Анализ и консолидация результатов различных тестов.

— Выводы для руководства, содержащие общую оценку уровня осведомленности пользователей.

— Методику проведения теста.

— Перечень основных проблемных областей (включая информацию по всем действиям пользователей в каждой целевой группе).

— Рекомендации по устранению выявленных проблемных областей.

Комплексный тест

Комплексный тест на проникновение наиболее близок к реальным действиям злоумышленников.

Используя различные технические и социоинженерные методы, аудиторы пытаются обойти существующие защитные механизмы с целью выполнения поставленных заказчиком задач (повышение привилегий, получение доступа к конфиденциальной информации, модификация данных с СУБД и т. д.).

В ходе тестирования используются подходы, описанные в разделах «Технологический тест на проникновение» и «Социотехнический тест на проникновение», проводится оценка защищенности беспроводных сетей заказчика.

— Методику проведения теста.

— Выводы для руководства, содержащие общую оценку уровня защищенности.

— Описание выявленных недостатков СУИБ.

— Описание хода тестирования с информацией по всем выявленным уязвимостям и результатам их эксплуатации.

— Рекомендации по устранению выявленных уязвимостей.