Тестирование на проникновение

Для получения оценки стоимости и сроков реализации работ по тестированию на проникновение для Вашей организации, направьте нам запрос через форму обратной связи.

На этой странице вы найдете информацию:

• Тестирование на проникновение для организаций – реальная ценность
• Виды тестирования на проникновение и их особенности, методы и этапы работ
• Требования регуляторов на прохождение тестирования на проникновение
• Этапы и результаты проведения тестирования на проникновение

1. Тестирование на проникновение для организаций

Тестирование на проникновение или pentest (пентест) – это имитация действий хакера. Пентест проводится для оценки реальной защищенности систем от действий злоумышленника.

В рамках оказания услуги белый хакер (специалист, имитирующий действия злоумышленника) выполняет различные ручные и автоматизированные процедуры, направленные на получение привилегированного доступа к системам заказчика.

Тестирование на проникновение для организаций является услугой, которая может наглядно продемонстрировать организации все уязвимые места в защите от кибер-угроз.

2. Виды тестирования на проникновение, методы и этапы работ

Внешнее тестирование на проникновение

Тестирование защищенности сервисов организации, видимых из внешней сети Интернет. С заказчиком согласовывается модель злоумышленника: специалист знает заранее какую-то информацию о структуре сервисов заказчика, то есть знает IP-адреса, может даже иметь к ним какой-то доступ, или не знает о них ничего и отбирает адреса самостоятельно. Отобранные IP-адреса тестируются посредством имитации различных видов кибератак для поиска и эксплуатации уязвимостей, которые могут привести к проникновению во внутренний периметр организации или реализации других киберугроз.

Методы и этапы внешнего пентеста:

• Пассивный сбор информации. Использование открытых источников (OSINT) для сбора данных о компании: домены, IP-адреса, поддомены, информация о сотрудниках, используемые технологии.
• Активный сбор информации. Сканирование сети для выявления активных хостов, открытых портов и служб.
• Анализ уязвимостей (Vulnerability Assessment). Сканирование внешних ресурсов (веб-сайты, серверы, API) на наличие уязвимостей. Проверка на наличие известных уязвимостей (CVE) и неправильных конфигураций.
• Тестирование веб-приложений. Поиск уязвимостей в веб-приложениях, таких как SQL-инъекции, XSS, CSRF, SSRF, файловые инклюзии.
• Ручное тестирование для выявления сложных уязвимостей.
• Тестирование сетевых служб (Network Services Testing)
• Проверка безопасности сетевых служб (SSH, FTP, SMTP, RDP, DNS).
• Поиск уязвимостей в протоколах и их реализациях.
• Проверка безопасности межсетевых экранов, VPN, прокси-серверов.
• Поиск уязвимостей в конфигурациях и прошивках устройств.
• Эксплуатация уязвимостей (Exploitation). Попытка эксплуатации найденных уязвимостей для получения доступа к системе.
• Тестирование API (API Testing)
• Проверка безопасности API на наличие уязвимостей, таких как неправильная аутентификация, инъекции, утечка данных.
• Разработка рекомендаций и отчета по результатам проведения работ.

Внутреннее тестирование на проникновение

Тестирование защищенности внутреннего периметра организации, легальный доступ к которому могут иметь только сотрудники организации. Как и в случае со внешним тестированием на проникновение, с заказчиком сначала согласовывается модель злоумышленника. При внутреннем тесте на проникновение белый хакер, специалист FBKCS, может имитировать действия внешнего злоумышленника, проникшего во внутреннюю инфраструктуру организации, или неблагонадежного сотрудника этой организации, который имеет низкоуровневый доступ во внутренней инфраструктуре.

Методы и виды кибератак во внутреннем тестировании на проникновении отличаются от внешнего:

• Анализ текущей инфраструктуры: сети, серверы, рабочие станции, устройства.
• Изучение конфигураций систем, учетных записей пользователей и прав доступа.
• Использование инструментов для сканирования сети и выявления активных хостов, открытых портов и служб.
• Поиск уязвимостей в операционных системах, приложениях и сетевых устройствах. Проверка на наличие известных уязвимостей (CVE) и неправильных конфигураций. Использование уязвимостей в операционных системах или приложениях.
• Попытка повышения уровня доступа.
• Поиск слабых паролей или неправильно настроенных прав доступа.
• Имитация перемещения злоумышленника между системами внутри сети. Использование украденных учетных данных или эксплойтов для доступа к другим устройствам.
• Проверка сегментации сети и эффективности межсетевых экранов.
• Проверка настроек безопасности операционных систем, баз данных, сетевых устройств.
• Поиск неправильных настроек, таких как слабые пароли, открытые общие ресурсы, избыточные права доступа.
• Проверка эффективности антивирусных решений и систем предотвращения вторжений (IPS/IDS).
• Попытка запуска вредоносного кода для оценки реакции защитных механизмов.
• Проверка реакции команды безопасности на атаку. Оценка процессов мониторинга, логирования и анализа событий безопасности.
• Применение эксплойтов для проверки устойчивости систем к реальным атакам. Использование скриптов.
• Анализ возможностей злоумышленника после успешного проникновения: кража данных, повреждение систем.
• Разработка рекомендаций и отчета по результатам проведения работ.

Тестирование методами социальной инженерии

Разновидность пентеста, при котором специалист имитирует действия хакера, направленные на поиск и эксплутацию уязвимостей, связанных с человеческим фактором. Иными словами, в рамках работ тестированию подвергаются не системы и ПО, а непосредственно сотрудники компании: проверяются их кибергигиеничность, понимание процедур ИБ и их реакция на потенциальный контакт со злоумышленником и вредоносным контентом. Социальная инженерия ограничена только воображением, поэтому в рамках проекта, как правило, создается частное задание, состоящее из нескольких наиболее актуальных для конкретной компании векторов атак.

В число таких векторов может входить:

• Фишинг (Phishing). Отправка поддельных электронных писем, сообщений или ссылок, которые выглядят как легитимные, с целью получения конфиденциальной информации (логины, пароли, данные кредитных карт).
• Смишинг (Smishing). Фишинг через SMS-сообщения.
• Вишинг (Vishing). Фишинг через телефонные звонки.
• Тайлгейтинг (Tailgating). Физическое проникновение в охраняемую зону вслед за авторизованным лицом.
• Байтинг (Baiting) и Дорожное яблоко (Road Apple). Использование "приманки" для привлечения внимания жертвы с целью (например, зараженной флешки с интригующим содержимым).
• Имперсонификация (Impersonation). Выдача себя за другое лицо (сотрудника, клиента, представителя власти).
• И другие.

Среди этапов можно выделить:

• Согласование групп из числа сотрудников, среди которых будет проводиться тестирование.
• Сбор информации о сотрудниках по открытыми и корпоративным источникам.
• Установление контактов и создание доверительных отношений с жертвой.
• Эксплуатация (Exploitation). Получение необходимой информации или доступа.
• Завершение (Execution). Использование полученных данных для проникновения в сеть, получения доступов или иных целей.
• Формирование статистики, оценка подготовленности сотрудников к кибератакам, разработка рекомендаций (обучение сотрудников, тренинги, тестирование на фишинг, оптимизация политик безопасности, внедрение новых правил обработки конфиденциальной информации, как, например, проверка личности при запросе данных и др.).
• Рекомендации по внедрению технических мер защиты информации (многофакторная аутентификация, фильтрация, мониторинг и реагирование на инциденты).
• Итоговый отчет по результатам работ.

В зависимости от конкретного задания консультанта результатом работы является, но не ограничивается указанным:

• Независимый план-фактный анализ портфеля активов банка на соответствие определенным в задании метрикам.
• Рекомендации по повышению эффективности управления портфелем непрофильных активов.
• Перечень непрофильных активов с представлением его влияния на капитал и финансовый результат банка, оценка достаточности текущего резервирования.
• Формирование портфеля потенциально проблемных активов на основе независимого анализа финансового состояния заемщиков и перспектив погашения предоставленных им кредитов, индикативного анализа обесценения залогов.
• Индикативный анализ текущей справедливой стоимости или независимая оценка рыночной стоимости непрофильных активов.
• Усиление устойчивости к внешним воздействиям и изменениям на рынке, что обеспечивает стабильность деятельности организации.
• Экономия времени и денежных средств, которые могли бы быть потрачены на устранение последствий возможных проблем в будущем.