Оценка защищённости информационных систем. Тестирование на проникновение (Pentest)

Penetration test — анализ защищённости данных компании с помощью моделирования действий злоумышленника по проникновению в информационную систему.

У злоумышленников есть множество путей для незаконного проникновения. Чаще всего они применяют вредоносную рекламу, фишинговые атаки, скрытые загрузки и прочее. После получения доступа к необходимому объекту киберпреступник имеет все возможности для завладения конфиденциальными данными, внесения изменений в базы данных и других незаконных действий. По факту им легко достигнуть своих целей, если компания не побеспокоилась о защите информации.

Команда IT Experts поможет своевременно выявить направления атак на компанию и усовершенствовать стратегии реагирования на инциденты.

При выполнении работ по оценке защищённости эксперты нашей организации используют богатый арсенал современных инструментальных средств сетевого сканирования, специализированные средства анализа веб-приложений, средства эксплуатации уязвимостей, средства подбора паролей, а также ручные проверки.

Когда нужно проводить оценку защищённости информационных систем?

Необходимо получить актуальную независимую оценку защищённости информационной системы от атак извне.
Выявить потенциально слабые места и уязвимости в системе обеспечения информационной безопасности.

Полученная информация позволит сформировать перечень работ по улучшению защиты и оценить требуемый для их проведения бюджет.

Цель проведения оценки защищённости информационных систем:

Инвентаризация существующих в организации информационных систем и ресурсов (активов).
Определение уровня защищённости информационных систем и ресурсов организации от атак со стороны сети Интернет и от атак из внутренней сети организации.
Оценка степени критичности выявленных уязвимостей и возможностей по осуществлению атак.

Выработка рекомендаций по ликвидации обнаруженных уязвимостей.
Снижение рисков безопасности, связанных с критичными информационными системами и ресурсами.
Выполнение требований законодательства Республики Беларусь по контролю защищённости информации.
Выполнение требований стандартов (PCI DSS, ISO 27001, и других).

Этапы работ

Сбор предварительной информации о тестируемой системе:

сведения о регистраторе, администраторе и состоянии домена; DNS записи; пути маршрутизации; e-mail адреса; веб-сайты; почтовые серверы; IP-адреса (выполняется при необходимости по запросу клиента).
Проведение инвентаризации информационных систем и ресурсов, идентификация:

открытых портов, работающих служб/сервисов, приложений, используемых операционных систем.
Определение уязвимостей, связанных с используемыми в целевой системе технологиями.

Обнаружение проводится с помощью технических средств, а также посредством «ручной» проверки, проводимой экспертами.
Анализ конфигурационных файлов сетевого оборудования, средств защиты информации, серверов и рабочих станций

а также других критических элементов сетевой инфраструктуры (при необходимости).
Верификация (эксплуатация) обнаруженных уязвимостей (при необходимости).
Согласование ложных обнаружений («false positives») уязвимостей и определение актуальных угроз безопасности информации.
Оценка рисков, связанных с обнаруженными уязвимостями.
Разработка первоочередных рекомендаций по обработке рисков, устранению уязвимостей, и угроз, обнаруженных в ходе оценки защищённости.
Верификация (контроль) выполнения рекомендаций по устранению обнаруженных уязвимостей (при необходимости).

Каких результатов ожидать

Оценка защищённости позволяет идентифицировать уязвимости и некорректные с точки зрения безопасности конфигурации элементов ИТ-инфраструктуры. Результаты оценки дают важную информацию, которая помогает обеспечивать эффективное управление безопасностью и защиту от кибератак.

По окончанию работ можно получить:

Подробную картину состояния защищённости информационных систем и ресурсов организации.
Отчёт по результатам выполнения работ по оценке защищённости, который содержит общую оценку уровня защищённости информационных систем и ресурсов от внешних и внутренних атак, подробное описание обнаруженных уязвимостей, а также рекомендации по устранению уязвимостей и совершенствованию защиты информации в организации.