Тест на проникновение

Имитация атак на внешнюю/внутреннюю инфраструктуру организации, либо интересующие фрагменты инфраструктуры/системы

ПОДРОБНЕЕ

Основные методики

Метод «черного ящика» (black-box)

Моделирование действий потенциального злоумышленника, не располагающего знаниями об исследуемой системе

Методика похожа на реальную атаку, но не позволит выявить максимальное количество уязвимостей за ограниченное время

Метод «серого ящика» (gray-box)

Моделирование действий потенциального злоумышленника, обладающего знаниями о системе, и имеющего доступ рядового пользователя

Позволяет обнаружить большее количество уязвимостей за аналогичное время, которые, например видны только пользователям системы. Для реализации данного метода Заказчику требуется предоставить права доступа

Метод «белого ящика» (white-box)

Предполагает моделирование действий потенциального злоумышленника, обладающего знаниями администратора и разработчика системы, и имеющего в том числе информацию об архитектуре и исходные коды программного обеспечения

Позволяет обнаружить уязвимости, которые могут быть использованы лицом, имеющим высокую степень осведомленности и квалификацию, а также выявить риски, связанные с уязвимостями кода программного обеспечения. Для реализации данного метода требуется предоставить учетные записи с правами доступа и исходные коды

Комплексный пентест

Внешний тест на проникновение

имитация атаки из сети Интернет, используется модель внешнего нарушителя.

Внутренний тест на проникновение

имитация атаки из внутренней сети Заказчика, используется модель внутреннего нарушителя (при этом возможно проведение работ в дистанционном режиме подключения ко внутренней сети Заказчика)

Социотехнический тест

проверка осведомленности сотрудников организации в вопросах информационной безопасности, навыков и готовности персонала противостоять атакам с использованием методов социальной инженерии (рассылки поддельных электронных писем, телефонные звонки, подброс носителей информации c исполняемыми файлами, комбинированные виды атак)

Повторный тест

экспресс-тестирование с целью проверки корректности устранения уязвимостей

Состав работ

Заполнение опросного листа.
Уточнение модели угроз, методов проверки и критериев успеха.
Согласование технического задания.

Анализ документации и получение от Заказчика прав доступа в соответствии с выбранным методом проверки (опционально).

Сбор информации как при активном содействии Заказчика, так и без (в зависимости от постановки задачи), согласование с Заказчиком сценариев (в случае с социотехническим тестом).

Проведение тестирования на проникновение с поиском относительно быстрых путей соответствия критериям успеха (тестирование завершается по достижении факта проникновения в соответствии с согласованными критериями).

Разработка отчета по результатам тестирования.

Проведение повторного тестирования с целью проверки и выдачи заключения о корректности устранения ранее найденных уязвимостей.

Результаты

Z

Достоверный перечень актуальных уязвимостей

Z

Объективная оценка устойчивости к атакам извне и внутри организации

Z

Экспертные рекомендации по устранению актуальных уязвимостей

Z