Тестирование на проникновение
Тестирование на проникновение — метод оценки безопасности
От того, насколько надежно защищена от злоумышленников ИТ-инфраструктура, зависит сохранение конфиденциальной информации и репутация компании. Поэтому так важно проверить на практике её защищенность. Зачастую даже оптимальный набор средств защиты может иметь неверные настройки конфигурации, что приводит к появлению уязвимостей и повышению вероятности реализации угроз.
Работы по тестированию на проникновение направлены на:
Получение независимой и комплексной оценки текущего уровня защищенности.
Получение независимой оценки осведомленности сотрудников в вопросах информационной безопасности.
Разработка рекомендаций по устранению выявленных уязвимостей.
В ходе выполнения работ проводится внешний и внутренний анализ защищенности и тестирование методами социальной инженерии.
Задачи, решаемые при проведении анализа защищенности:
- Выявление уязвимостей ИБ и способов их эксплуатации.
- Проверка возможности проникновения из внешних сетей в локальную вычислительную сеть.
- Разработка рекомендаций по повышению уровня защищенности за счёт устранения выявленных уязвимостей.
Если в ходе работ по анализу защищенности принимается решение о необходимости немедленного устранения выявленных уязвимостей, то осуществляются следующие действия:
- фиксация результатов эксплуатации уязвимости (в виде снимков экрана, записи действий специалистов, журналов работы системы и т.д.)
- определение необходимости и согласование способов устранения уязвимости
- устранение уязвимости
Этапы проведения тестирования
При выполнении работ по анализу защищенности используются универсальные сканеры уязвимостей, позволяющие обнаруживать уязвимости приложений, ОС и сетевой инфраструктуры, а также специализированное ПО. Работы по тестированию на проникновение проводятся в три этапа и включают следующие стадии:
Этап 1 – внешний анализ защищенности:
Работы проводятся удаленно с использованием внешних сетей передачи данных (сеть Интернет).
- Составление плана проведения внешнего анализа защищенности и его согласование с рабочей группой
- Проведение внешнего анализа защищенности
- Анализ результатов, составление отчета и его согласование с рабочей группой
Этап 2 – внутренний анализ защищенности:
Работы проводятся на объекте заказчика.
- Составление плана внутреннего анализа защищенности и его согласование с рабочей группой
- Проведение внутреннего анализа защищенности
- Анализ результатов, составление отчета и его согласование с рабочей группой
Этап 3 – тестирование методами социальной инженерии:
Работы проводятся удаленно с использованием внешних сетей передачи данных (сеть Интернет).
- Составление плана тестирования методами социальной инженерии и его согласование с рабочей группой
- Проведение тестирования методами социальной инженерии
- Анализ результатов, составление отчета и его согласование с рабочей группой
Проведение внешнего анализа защищенности
Целью настоящего этапа работ является проверка возможностей злоумышленника по осуществлению несанкционированного доступа к ресурсам и конфиденциальной информации.
Анализ защищённости проводится по модели «черного ящика» (отсутствие санкционированного доступа, исходных данных о конфигурации и применяемых средствах защиты информации).
В рамках внешнего анализа защищенности выполняются следующие типы работ:
- сбор общедоступной информации о внешних ресурсах, доступных из внешних сетей передачи данных
- сбор данных об инфраструктуре (сетевых сервисах, операционных системах и прикладном программном обеспечении внешних ресурсов), выявление уязвимостей с использованием специализированного ПО и универсальных сканеров защищенности
- поиск уязвимостей ресурсов и их инфраструктурных компонентов с использованием сканеров защищенности и специализированного ПО
- эксплуатация выявленных уязвимостей с использованием специализированного ПО и вручную для определения актуальности выявленных уязвимостей и возможности получения НСД к компонентам программных продуктов и конфиденциальной информации
В процессе поиска уязвимостей проверяется наличие, в том числе, следующих основных типов уязвимостей:
- внедрение фрагментов кода (например, внедрение операторов SQL, внедрение команд операционной системы
- небезопасно реализованные процедуры аутентификации и управления сессиями
- межсайтовый скриптинг
- ошибки контроля доступа (например, прямые ссылки на объекты с конфиденциальной информацией, уязвимости прохождения директорий)
- небезопасная конфигурация ПО (например, включение листинга каталогов)
- раскрытие конфиденциальной информации (например, предоставление пользователю персональных данных других пользователей)
- ошибки ограничения доступа пользователя к определенным функциям
- межсайтовая подделка запросов
- неправильная обработка ошибок, предоставляющая дополнительную информацию об исследуемой системе
- использование ОС и ПО с известными уязвимостями
- открытое перенаправление
- обработка внешних сущностей XML
- неправильная обработка ошибок, предоставляющая дополнительную информацию об исследуемой системе
- использование простых паролей при аутентификации
Анализ результатов
Результатом работ является отчет, содержащий следующую информацию:
- Цель и границы проводимых работ.
- Состав и методика проведения работ по анализу защищенности.
- Перечень актуальных уязвимостей ИБ.
- Результаты проведенных проверок.
- Результаты эксплуатации актуальных уязвимостей ИБ.
- Рекомендации по устранению выявленных уязвимостей ИБ и повышению уровня защищенности.
Преимущества работы с «Газинформсервис»:
Есть вопросы? Обратитесь к нашим специалистам