PENTEST — Анализ реальной защищенности информационной системы

 

Тенденция развития современного общества такова, что мировая экономика неминуемо переходит в цифровую плоскость. И пока компании перестраивают и автоматизируют бизнес-процессы, а информационные ресурсы начинают активно интегрироваться с сетью Интернет, злоумышленники также перемещают свой фокус на киберпространство. Теперь для кражи «кошелька», ограбления банка или начала войны, хакерам нет необходимости выходить из дома. При этом одна масштабная вредоносная кампания способна нанести ущерб, сопоставимый с доходами небольшого государства.

Существует множество способов повышения защищенности информационных систем и содержащихся в них ресурсов. Сегодня и частный бизнес, и государственные организации уделяют большое внимание реальной защите данных и минимизации возможного ущерба от инцидентов информационной безопасности.

Не ждите, когда злоумышленники воспользуются уязвимостями предприятия! Будьте на шаг впереди!

Самый эффективный способ узнать «слабые» места в информационной безопасности предприятия — проведение Пентеста.

Пентест (Pentest или Penetration test — тест на проникновение) – процедура анализа защищенности информационных систем путем поиска в них уязвимостей и их эксплуатации. В процессе теста анализируются различные внутренние и внешние информационные системы.

Пентест проводится, когда необходимо:

выявить «слабые» места инфраструктуры (оценить, что может предпринять хакер для проникновения в Вашу систему);

оценить эффективность системы безопасности и получить рекомендации по устранению уязвимостей (быстрое повышение реального уровня защиты);

проверить качество работы исполнителей по направлению ИБ.

Компания Инжиниринговый центр РЕГИОНАЛЬНЫЕ СИСТЕМЫ имеет практический опыт проведения тестов на проникновение. Наши наработанные методики уже доказали свою эффективность.
ЗАКАЗАТЬ ПЕНТЕСТ

Варианты проведения пентеста

анализ внутренней инфраструктуры (поиск уязвимостей в сетевых сервисах на серверах и АРМ во внутренней сети);

анализ внешних ресурсов (поиск уязвимостей веб-сайтов, серверов электронной почты и иных сервисов, доступных из сети Интернет);

анализ беспроводных сетей;

анализ внутренней сети на предмет устойчивости к атакам на канальном уровне по протоколам (STP, VTP, CDP, ARP, DTP);

анализ сетевого трафика на предмет содержания критически важной информации, передаваемой в открытом виде (логины, пароли, конфиденциальные документы).

Кроме того, возможно проведение анализа методами социальной инженерии (используется невнимательность сотрудников, излишняя доверчивость и отсутствие базовых знаний в области ИБ): имитация злоумышленных действий, выполняющихся в адрес персонала Заказчика с использованием корпоративной почты (фишинг-ссылки, рассылка зараженного документа и т.д.).

Ключевое преимущество пентеста

Многие останавливаются на этапе «бумажной безопасности», когда формируются все необходимые документы по информационной безопасности, не подозревая о фактически существующих проблемах в безопасности предприятия и о тех последствиях, которые возникнут при использовании их злоумышленниками.

Проведение пентеста показывает реальное состояние защищенности, которое, к сожалению, в 99% случаев отличается от описанного в документах. Вот почему мы рекомендуем не ограничиваться проведением мероприятий по информационной безопасности, требуемых по законодательству, а обязательно проверить систему в «боевом режиме», заказав проведение пентеста.

Как мы работаем?

1. Совместно определим задачи с точки зрения злоумышленника (получение административных прав в домене, получение доступа к базе данных, вмешательство в технологический процесс, установка вредоносных программ, остановка работы определенных сервисов и т.д.).

2. Согласуем детали работ, в т.ч. границы оказания услуги.

3. Проверим возможные способы, которыми злоумышленник может достичь цели.

 

Анализ защищенности проводится с использованием следующих методов:

«Черный ящик» У злоумышленника нет санкционированного доступа, нет данных о конфигурации сети и средствах защиты информации. Имитируются действия хакера.

«Серый ящик». Имеется санкционированный доступ в систему и ограниченные знания об организации, ее корпоративной сети и средствах защиты информации. Имитируются действия «инсайдера», т.е., локального пользователя, имеющего ограниченные привилегии в отдельно взятых системах.

Безопасность проведения

Пентест – очень деликатная услуга. Поэтому перед началом работ мы предварительно заключаем «Соглашение о конфиденциальности», направляем опросный лист для оценки стоимости услуги. Далее детально обговариваем границы проведения работ, чтобы при проведении услуги не оказать влияния на ход бизнес-процессов, информационные ресурсы и инфраструктуру. Поэтому пентест возможно проводить даже на работающей системе. Наши специалисты никогда не эксплуатируют найденные уязвимости без согласования с Заказчиком.

При проведении работ на Вашей территории Ваш представитель обеспечивает постоянное сопровождение нашего специалиста. При постановке задач, связанных с доступом к данным, охраняемым Федеральным законодательством наши специалисты остановятся за шаг до цели. Последнее действие будет производиться Вашим специалистом, уполномоченным на соответствующие действия. Целенаправленная работа с базами, содержащими данные, защищаемые Федеральным законодательством, не производится. В ходе выполнения работ мы осуществляем протоколирование проводимой работы, при необходимости, используем АРМ Заказчика.

Компания Инжиниринговый центр РЕГИОНАЛЬНЫЕ СИСТЕМЫ имеет практический опыт проведения тестов на проникновение. Наши наработанные методики уже доказали свою эффективность.
ЗАКАЗАТЬ ПЕНТЕСТ

Если в Вашей системе есть уязвимости – значит, ими обязательно воспользуются злоумышленники!

Пентест поможет Вам увидеть эти уязвимости первым и устранить их!