Вернуться

Пентест компании финансового сектора, входящей в топ-20 в Европе

уязвимости среднего уровня опасности выявила RED TEAM

Проблема

Финансовые организации работают с конфиденциальной информацией клиентов, включая данные банковских карт, финансовые операции, личные данные и другие чувствительные сведения. Любое нарушение безопасности может привести к утечке этой информации, что влечет серьезные последствия как для репутации компании, так и для её клиентов.

Особенность

Клиент обязан соответствовать законодательным требованиям Банка России, таким как:

Положение ЦБ РФ от 04.06.2020 N 719-П
Положение ЦБ РФ от 12.01.2022 N 787-П
Положение Банка России от 08.04.2020 №716-П

Пентест помогает удостовериться, что системы соответствуют этим стандартам, кроме того, тестирование помогает оценить реальную эффективность защитных мер.

Запрос

Провести тестирование на проникновение веб-приложений и серверов
Проанализировать исходный код системы как с использованием сканеров, так и вручную
Подтвердить (не)возможность реализации таких недопустимых событий, как получение какой-либо выгоды злоумышленником и нанесение вреда Клиенту или пользователям

ЧТО БЫЛО СДЕЛАНО RED TEAM SIMPLITY:

Для проведения тестирования были выбраны:

White Box и модель «дефолтный сотрудник» или «сотрудник с учетной записью», не обладающий исключительными правами в сети
Grey Box и также модель «дефолтный сотрудник»
Black Box и модель «внешний нарушитель»

Модели нарушителей позволяют инсценировать разные обстоятельства и сценарии, при которых может произойти кибератака.

Выявили ряд уязвимостей среднего уровня опасности. По Grey Box – выявили возможность инициировать спам-атаку на телефоны клиентов
По White Box – возможность любому пользователю инициировать различные бизнес-процессы, например обычный пользователь может получить доступ к клиентской базе Компании
Подтвердили в целом высокий уровень защищенности Клиента и соответствие требованиям законодательства: по Black Box система показала устойчивость
Сформировали итоговый отчет, который включает: подробную информацию о слабы местах системы, перечень уязвимостей и рекомендации по повышению уровня защищенности

Результат

Клиент внедрил рекомендации специалистов Simplity и закрыл слабые места
Клиент получил подтверждение, что используемый им принцип безопасной разработки сводит к минимуму риски ИБ
Клиент уверен, что компания соблюдает все требования законодательства
Тылы прикрыты, а значит Клиент может развивать инфраструктуру в соответствии с потребностями бизнеса

Сотрудничать
с Simplity