Тестирование на проникновение
Во время тестирования на проникновение (известного как пен тестирование, penetration testing) аудиторы действуют как внешние злоумышленники: они пытаются обойти меры защиты и проникнуть в сеть компании. Они обнаруживают скрытые недостатки системы и оценивают потенциальное влияние на операции, если эти недостатки будут использованы настоящими злоумышленниками. В дополнение к тщательному техническому анализу инструментов безопасности клиента, оценка может также оценить уровень осведомленности ИТ-безопасности среди сотрудников компании.
Эксперты SYSTEM ADMINS провели сотни тестов на проникновение в широкий спектр систем для клиентов — от банков и телекоммуникационных компаний до коммунальных служб и государственных учреждений. Типичные действия по тестированию на проникновение, проводимые нашей командой, включают в себя:
- Попытка взломать веб-интерфейс системы
- Использование социальной инженерии для проверки осведомленности персонала
- Попытка получить неавторизованный доступ к внутренней корпоративной сети путем выявления уязвимостей в системных настройках по умолчанию, неверных конфигурациях или используя слабые пароли
Внешнее и внутреннее тестирование на проникновение
Тестирование на проникновение может проводиться с или без ведома ключевых сотрудников информационной безопасности, таких как системные и сетевые администраторы. Выполнение симулированной атаки без предупреждения этих сотрудников даст старшему руководству реальную картину эффективности существующих мер безопасности. Однако, если серверное и сетевое оборудование было плохо сконфигурировано или команды безопасности плохо реагируют на симулированную атаку, такое «необъявленное» тестирование может привести к нарушению нормальной работы сети.
По этой причине тесты на проникновение часто подразделяются на внешние и внутренние этапы. Сначала наши специалисты пытаются взломать периметр, например, установив вредоносные программы на рабочие станции. Если этот внешний этап будет успешным, они будут координировать свои действия с системными администраторами, прежде чем приступить к оценке мер по противодействию внутренней атаке.
Техническое тестирование на проникновение
Технический тест на проникновение идентифицирует существующие уязвимости в вашей ИТ-инфраструктуре и предоставляет практические доказательства того, могут ли они быть использованы. Ниже приведены типичные шаги, выполняемые экспертами SYSTEM-ADMINS во время этого тестирования:
- Сбор информацию о своей сети, используя те же источники информации, которые доступны злоумышленникам (Интернет, новости, конференции).
- Составление карты вашей сети и определение типов устройств, операционных систем и приложений.
- Определение уязвимости в ваших сетевых сервисах и приложениях
- Анализ приложений веб-клиента для обнаружения уязвимостей с использованием автоматизированных инструментов и ручных методов, включая внедрение SQL-кода, межсайтовый скриптинг, спуфинг контента, некорректную аутентификацию конфигурации, механизмы авторизации и т.д.
- Попытка использовать найденные уязвимости с использованием соответствующих методов и инструментов.
- Попытка получить контроль над безопасностью беспроводных сетей.
- Проверка безопасности внешнего периметра и открытость ресурса для таких атак, как отказ в обслуживании.
- Оценка степень безопасности сетевых элементов и возможный ущерб при самых навязчивых сценариях атаки
- Проверка работоспособность сети против атак на канальном уровне; выполня.тся симулированные атаки на протоколы канального уровня STP, VTP, CDP и ARP
- Анализ сетевого трафика для получения конфиденциальной информации (пароли, конфиденциальные данные и т.д.)
- Проверка стабильности маршрутизации;
- Подтверждение возможности получения несанкционированного доступа к конфиденциальной информации
- Проверка возможности доступа к различным информационным ресурсам с правами, полученными на разных этапах тестирования.
Социотехническое тестирование на проникновение
Во многих сетях обычные пользователи являются самым слабым звеном. Злоумышленники, которые могут манипулировать вашими сотрудниками, могут получить контроль над рабочими станциями, с которых они могут получить доступ к конфиденциальным документам, данным или учетным записям клиентов; размещать вредоносный контент на ваших сайтах; рассчлать спам или фишинг с использованием контактов с клиентами; используйте свои сетевые ресурсы для запуска атак на системы других компаний или ограничить возможности в повседневной работе.
SYSTEM ADMINS могут использовать методы социальной инженерии, чтобы определить уровень осведомленности ваших сотрудников о безопасности и оценить их реакцию на методы взлома, такие как фишинг и фарминг. Помимо определения областей безопасности, которые требуют немедленного внимания в вашей организации, этот сервис может быть особенно полезен для проверки эффективности недавнего обучения осведомленности. Наше тестирование обычно предназначено для выбранных групп пользователей, при этом разные сценарии тестирования применяются к разным группам. Они могут включать в себя:
- Отправка электронной почты / мгновенных сообщений (IM) от анонимных пользователей и сотрудников вашей компании со ссылками на веб-ресурсы или с исполняемым кодом, таким как запрос на изменение паролей, отправку паролей или личную информацию
- Проводить выборочные проверки политик «чистого стола» (таких как рабочие станции, оставленные незаблокированными, заметки с паролями и конфиденциальные документы в рабочей зоне оставленных без присмотра, в доступной зоне посетителей)
Комплексный подход
Чтобы по-настоящему действовать как внешние злоумышленники, наши тестировщики объединяют информацию, собранную в технических и социотехнических тестах на проникновение, чтобы продемонстрировать, как хакеры могут собрать воедино слабые места, чтобы обойти существующие механизмы безопасности, расширить сетевые привилегии, получить доступ к конфиденциальной информации, изменить вашу СУБД или убедить пользователей отказаться от соблюдения существующих политик безопасности.
Результаты
Основным результатом наших услуг по тестированию на проникновение является подробный отчет:
- Методика испытаний
- Слабые стороны, выявленные в ваших системах информационной безопасности
- Пояснения ко всем выявленным уязвимостям
- Выводы относительно уровня осведомленности о безопасности среди пользователей и общей защиты сети
- Описание основных проблемных областей, включая информацию о действиях пользователей в каждой целевой группе
- Рекомендации по смягчению выявленных уязвимостей
