Тестирование на проникновение - это
контролируемое техническое исследование защищенности ИТ-инфраструктуры и информационных систем с целью выявления уязвимых областей и возможных сценариев атаки, позволяющих злоумышленнику обойти средства безопасности в вашей корпоративной сети.
Кто проводит исследование?
Тестирование на проникновение проводят специалисты по анализу защищенности или иначе «белые хакеры» - этичные специалисты, обладающие тем же набором знаний, приемов и техник, что и хакеры злоумышленники.
В ходе работ белые хакеры ищут критичные уязвимости и недостатки системы с целью имитации действий реального злоумышленника:
- эксплуатация уязвимостей и проникновение во внутренний периметр
- захват сети клиента (получение прав администратора)
- получение доступа к чувствительным данным компании
- получение максимальных привилегий в критической инфраструктуре
Что дает тестирование на проникновение
Вы успеете защитить инфраструктуру до того, как ее захватят реальные киберпреступники – это самое важное, что дает пентест.
А также:
- Вы будете иметь объективное представление об уровне защищенности ИТ-инфраструктуры и эффективности используемых механизмов защиты
- Вы будете точно знать, удастся ли хакерам нанести существенный вред вашей компании – т.е. реализовать недопустимые события для бизнеса, и если удастся, то каким образом.
- Вы узнаете критические точки входа в сеть
- Вы получите представление о реальных и потенциальных векторах атак злоумышленников, и насколько далеко они могут зайти
- Вы узнаете, насколько сотрудники компании устойчивы к социтотехническим атакам
- Выполните требования регуляторов, например положений Банка России № 683-П, 684-П, 382-П и др.
Этапы проведения тестирования на проникновение
1. Планирование и подготовка
Вместе с клиентом определяем цели и задачи тестирования, границы проекта (цели атаки), критерии успеха тестирования.
На этом же этапе мы определяем:
- Внутренний, внешний или комплексный пентест наиболее отвечает целям клиента
- Модели тестирования (черный, серый или белый ящик) и модели нарушителя (внешний и внутренний), которые будем использовать во время пентеста.
- Решаем, включить ли в тестирование социотехнические атаки
- Определяем перечень недопустимых событий
- Заключаем договор
2. Сбор информации
Проведение OSINT – специалисты собирают информацию о сетевом периметре из открытых источников, которыми также мог бы воспользоваться злоумышленник (поисковые системы, специализированные сайты, ТГ-каналы, базы утечек, сведения в Darknet, проводят исследование DNS-записей, поисковых запросов, социальных сетей, публичных репозиториев (Shodan, Censys).
3. Создание списка ресурсов и узлов
Белые хакеры Simplity сканируют узлы сетевого периметра, определяют типы устройств, операционных систем, приложений и сервисов.
4. Анализ инфраструктуры на наличие уязвимостей
Формируется перечень возможных уязвимостей используемых приложений, ОС, сервисов, сетевых служб в соответствии для дальнейшей эксплуатации.
5. Попытки получения несанкционированного доступа и демонстрация реализации недопустимых событий
На этом этапе специалисты по анализу защищенности показывают тот максимум, которого удалось бы достичь хакерам-нарушителям.
- Эксплуатация уязвимостей или недостатков в настройке безопасности узлов с целью преодоления сетевого периметра
- Эксплуатация недостатков настройки систем безопасности
- Развитие вектора атаки с целью проникновения внутрь тестируемой среды
- Выполнение действий, имитирующих реальные угрозы (инъекции SQL, XSS, RCE, LFI/RFI и другие виды атак)
- Создание бэкдоров, скрытых каналов связи, позволяющих повторно войти в систему даже после устранения первоначальных уязвимостей
- Проведение фишинговой рассылки или вишинга на ограниченной группе пользователей
- Демонстрация НДС
6. Передача подробного отчета для технических специалистов и топ-менеджмента
Отчет о проведении пентеста обычно содержит:
- Список найденных уязвимостей с указанием критичности и описанием способов эксплуатации
- Подробное описание векторов атак: тех, которые удалось реализовать, и тех, которые могут быть реализованы потенциально
- Статистику по результатам исследования методами социальной инженерии
- Рекомендации по закрытию слабых мест инфраструктуры и повышению общего уровня защищенности
Пентест дает только реальные результаты
Не сканы, а люди. Наши специалисты работают в ручном режиме, который исключает ложноположительные результаты, возникающие в ходе работы сканеров.
Оцениваем возможности. Специалисты Simplity на практике проверяют существующий арсенал средств информационной безопасности и помогают определить, способны ли ИТ/ИБ специалисты вашей компании, имеющиеся СЗИ и настройки, обычные сотрудники противостоять действиям злоумышленника.
Опережаем хакеров. Тестирование на проникновение показывает текущий уровень защищенности и позволяет принять меры до того, как существующими уязвимостями воспользуется настоящий злоумышленник.
Когда лучше проводить пентест?
- Ваша компания никогда не тестировала инфраструктуру на проникновение
- Вы заметили признаки компрометации инфраструктуры, подозрительную активность в сети
- Необходимо проверить эффективность применяемых мер ИБ и средств защиты
- В инфраструктуру были внесены существенные изменения
- Необходимо выполнить требования регуляторов