Тесты на проникновение
Более чем для 70% компаний, проанализированных в рамках исследований Positive Technologies, внешний атакующий способен проникнуть во внутреннюю сеть и получить привилегии в критически важных для бизнеса системах, при этом в половине случаев он способен развить атаку вплоть до получения полного контроля над IТ-инфраструктурой.

Технологический тест

Технологический тест на проникновение

Тест на проникновение проводится с целью выявления существующих уязвимых мест в элементах ИТ инфраструктуры, практической демонстрации возможности использования уязвимостей (на примере наиболее критических) и формирования рекомендаций по устранению выявленных уязвимостей.
Тест на проникновения может проводиться для периметра корпоративной сети (внешний тест) и для внутренних ресурсов (внутренний тест). Работы могут проводиться с уведомлением администраторов и пользователей тестируемой системы, либо без него (Red Team Test). В ходе внутреннего тестирования может использоваться как ноутбук аудитора, так и стандартное рабочее место пользователя Заказчика.
В процессе тестирования используются как инструментальные средства, так и ручные методы анализа.

В общем случае порядок проведения работ следующий:

  • Получение предварительной информации о сети Заказчика. Используются те же источники информации, которые доступны злоумышленникам (Интернет, новости, конференции).
  • Составление карты сети, определение типов устройств, ОС, приложений по реакции на внешнее воздействие.
  • Идентификация уязвимостей сетевых служб и приложений.
  • Анализ WEB-приложений Заказчика. С помощью автоматизированных утилит и ручными методами детектируются следующие уязвимости: внедрение операторов SQL (SQL Injection), межсайтовое исполнение сценариев (Cross-Site Scripting), подмена содержимого (Content Spoofing), выполнением команд ОС (OS Commanding), уязвимости, связанные с некорректной настройкой механизмов аутентификации и авторизации и пр.
  • Эксплуатации уязвимостей. Методы и инструментарий выбираются индивидуально для каждого типа уязвимости. Используются как общедоступные утилиты, так и инструментарий собственной разработки.
  • По согласованию с Заказчиком могут проводиться базовые работы по контролю защищенности беспроводных сетей.
  • По согласованию с Заказчиком может производиться проверка устойчивости внешнего периметра и открытых ресурсов на атаки типа отказа в обслуживании. Производится оценка степени устойчивости сетевых элементов и возможного ущерба при проведении наиболее вероятных сценариев подобных атак.
  • Проверка устойчивости сети к атакам на канальном уровне. Производится моделированием атак на протоколы канального уровня STP, VTP, CDP, ARP.
  • Анализ сетевого трафика. В случае проведения работ в сети Заказчика или при получении такой возможности в ходе эксплуатации уязвимостей проводится анализ сетевого трафика с целью получения важной информации (пароли пользователей, конфиденциальные документы и пр.).
  • Проверка устойчивости маршрутизации. Производится моделированием фальсификации маршрутов и проведения атаки типа отказа в обслуживании против используемых протоколов маршрутизации.
  • Проверка возможности получения злоумышленником несанкционированного доступа к конфиденциальной информации или информации ограниченного доступа Заказчика. Производится проверкой прав доступа к различным информационным ресурсам Заказчика с привилегиями, полученными на различных этапах тестирования.
  • Полученная в ходе анализа уязвимостей и попыток их эксплуатации информация документируется и анализируется для выработки рекомендаций по улучшению защищенности сети.

Результатом работы будет являться отчет, содержащий:

  • Методику проведения теста.
  • Выводы для руководства, содержащие общую оценку уровня защищенности.
  • Описание выявленных недостатков СУИБ.
  • Описание хода тестирования с информацией по всем выявленным уязвимостям и результатам их эксплуатации.
  • Рекомендации по устранению выявленных уязвимостей.
  • При оценке критичности обнаруженных уязвимостей используется методика Common Vulnerability Scoring System (CVSS), что позволяет использовать результаты тестирования на проникновения в качественных и количественных методиках анализа риска.

Логическим продолжением теста на проникновение могут являться работы:

  • Проектирование и внедрение систем защиты
  • Проектирование и внедрение системы управления уровнем защищенности
  • Мониторинг защищенности периметра корпоративной сети

Социотехнический тест

Социотехнический тест на проникновение

Тест на проникновение проводится с использованием методов социальной инженерии (Social Engineering). Основной целью проведения теста является выявление уровня осведомленности персонала Заказчика о требованиях по информационной безопасности. В процессе проведения тестирования определяется реакция пользователей и персонала ответственного за информационную безопасность на организационные методы проникновения, используемые злоумышленниками.

Методы социальной инженерии достаточно часто используются злоумышленниками и направлены, как правило, на конечных пользователей. В результате успешной атаки злоумышленник может получить контроль над рабочими станциями, получить конфиденциальные документы Заказчика, использовать ресурсы Заказчика для организации атак на системы других компаний, рассылки спама и пр.

Организационные аспекты ИБ являются важнейшей составляющей системы защиты и, часто, обычные пользователи являются самым слабым звеном. Данная услуга позволит выявить те организационные аспекты ИБ, на которые Заказчику следует обратить внимание в первую очередь.

Результаты, полученные в ходе оказания данной услуги, могут стать основой для разработки Программы повышения осведомленности (Security Awareness Program), максимально ориентированной на проблемные области, выявленные в ходе тестирования. Данная услуга также может быть полезна для проверки эффективности действующей Программы осведомленности Заказчика.

В общем случае порядок проведения работ следующий:

С Заказчиком согласовываются методы социальной инженерии, которые будут использованы при проведении теста. Могут быть использованы следующие методы:

  • рассылка почтовых/IM сообщений от имени анонимных пользователей и сотрудников Заказчика, содержащих ссылки на Web-ресурсы с исполняемым кодом, содержащие исполняемый код в теле письма, содержащие просьбу сменить пароли, переслать пароли или свою персональную информацию и пр.;
  • выборочная проверка исполнения политики "чистого стола" (стикеры с паролями, незаблокированные в отсутствие пользователя консоли, наличие конфиденциальных документов в офисе, доступных посетителям, оставленные без присмотра сотовые телефоны и КПК);
  • звонки пользователям от имени ИТ и ИБ персонала с просьбами получения/смены пароля, пересылки конфиденциальных документов и пр.;
  • Выбор целевых групп пользователей и определение методов тестирования для каждой из групп.
  • Проведение теста: рассылка почтовых сообщений, звонки пользователям, выезд в офис Заказчика для проведения исследования.
  • Использование полученных в результате предыдущих этапов привилегий для получения несанкционированного доступа к ресурсам Заказчика (см. Технологический тест на проникновение).
  • Анализ и консолидация результатов различных тестов.

Результатом работы будет являться отчет, содержащий:

  • Выводы для руководства, содержащие общую оценку уровня осведомленности пользователей.
  • Методику проведения теста.
  • Перечень основных проблемных областей (включая информацию по всем действиям пользователей в каждой целевой группе).
  • Рекомендации по устранению выявленных проблемных областей.

Комплексный тест

Комплексный тест на проникновение

Комплексный тест на проникновение наиболее близок к реальным действиям злоумышленников. Используя различные технические и социоинженерные методы, аудиторы пытаются обойти существующие защитные механизмы с целью выполнения поставленных Заказчиком задач (повышение привилегий, получение доступа к конфиденциальной информации, модификация данных с СУБД и т.д.).

В ходе тестирования используются подходы, описанные в разделах "Технологический тест на проникновение" и "Социотехнический тест на проникновение", проводится оценка защищенности беспроводных сетей Заказчика.

Результатом работы будет являться отчет, содержащий:

  • Методику проведения теста.
  • Выводы для руководства, содержащие общую оценку уровня защищенности.
  • Описание выявленных недостатков СУИБ.
  • Описание хода тестирования с информацией по всем выявленным уязвимостям и результатам их эксплуатации.
  • Рекомендации по устранению выявленных уязвимостей.

При оценке критичности обнаруженных уязвимостей используется методика Common Vulnerability Scoring System (CVSS), что позволяет использовать результаты тестирования на проникновения в качественных и количественных методиках анализа риска.

Остались вопросы?
Воспользуйтесь формой обратной связи:
Имя и Фамилия
Электронная почта
Комментарий
Ваш вопрос отправлен!

Наши специалисты свяжутся с вами в ближайшее время.