Контролируйте изменения в инфраструктуре ежедневно и своевременно выявляйте уязвимости. Получайте детальную информацию:

• о состоянии защищенности периметра;
• топ критических уязвимостей;
• полное описание по каждой уязвимости;
• рекомендации по устранению уязвимостей.

Средняя продолжительность

• Ежедневное непрерывное сканирование ИТ-периметра.

Объекты сканирования

• Web ресурсы.
• Net ресурсы.

Используемые инструменты

• ETHIC.CPT – сервис непрерывного мониторинга периметра и веб-приложений.

Анализируйте исходный код, выявляйте уязвимости и тестируйте на безопасность в контролируемой среде.

Средняя продолжительность от 10 дней

• Время анализа зависит от объема сканируемых ресурсов.

Объекты сканирования

• Цифровые активы компании.

Состав работ

• Получение предварительной информации и доступа к исходному коду тестируемого проекта.
• Проведение статического анализа кода с применением инструментов для обнаружения потенциальных ошибок и уязвимостей.
• Проведение анализа безопасности с целью ручного поиска веб-уязвимостей, таких как SQL-инъекции, межсайтовый скриптинг, и т.д.
• Проверка корректности обработки входных данных. Оценка соблюдения принципов безопасной разработки.
• Проведение анализа производительности для оценки эффективности алгоритмов и структур данных.
• Проведение анализа структуры кода для проверки организации кода и соответствия его архитектурным принципам.
• Проведение анализа безопасности используемых библиотек и плагинов в исходном коде.
• Подготовка отчета по результатам тестирования.

Защитите свою внутреннюю сеть от кибератак. Найдите уязвимости и ошибки в конфигурации устройств, сетевых служб и приложений раньше злоумышленников.

Средняя продолжительность 18-25 дней

Объекты тестирования

• Операционные системы.
• Средства защиты информации.
• Сетевые сервисы и службы.

Используемые методы

• OSINT (Open-Source Intelligence) исследование — получение предварительной информации о сетевом периметре на основе открытых источников, доступных потенциальному нарушителю (поисковые системы, СМИ, конференции и т.п.).
• Сканирование хостов сетевого периметра, определение типов устройств, операционных систем и приложений.
• Проведение сканирования на наличие уязвимостей.
• Анализ защищенности сервисов сетевой инфраструктуры и электронной почты.
• Анализ защищенности систем совместной работы SharePoint, OWA, Confluence и других.
• Проведение брутфорс-атак.
• Идентификация уязвимостей сетевых служб и приложений.
• Эксплуатация наиболее критичных уязвимостей с целью преодоления сетевого периметра.
• Анализ возможностей развития атаки во внутреннюю сеть.

Поможем защитить внутренний контур (локальную сеть) организации от атак со стороны нарушителя. Проведем пентест внутреннего периметра как локально, так и удаленно, с помощью защищенного подключения по технологии VPN.

Средняя продолжительность 25-30 дней

Объекты тестирования

• СУБД.
• Рабочие станции.
• Серверы (FTP, почтовый, SQL и др.).
• Сетевые службы и сервисы.
• Сетевое оборудование.
• Средства защиты информации.

Используемые методы

• Пассивный сбор информации о подсети.
• Перехват и анализ сетевого трафика. Проведение сетевых атак.
• Сканирование узлов, доступных из пользовательского сегмента ЛВС, сбор информации об открытых портах, определение типов устройств, анализ сетевой сегментации.
• Проведение сканирования на наличие уязвимостей (если это возможно по условию внутреннего тестирования).
• Эксплуатация уязвимостей.
• Восстановление паролей и хеш-суммы паролей из оперативной памяти и реестра.
• Восстановление хеш-суммы паролей по словарю.
• Анализ Active Directory.
• Боковое перемещение (Lateral Movement) и повышение привилегий.
• Проверка возможности получения доступа к конфиденциальной информации и (или) информации ограниченного доступа.
• Проверка прав доступа к различным информационным ресурсам с привилегиями, полученными на различных этапах тестирования.

Защитите работу сайта и веб-приложений организации.

Средняя продолжительность 18-25 дней

Объекты тестирования

• Операционные системы.
• Системы управления сайтами (CMS).

Используемые методы

• Получение предварительной информации о веб-ресурсе на основе источников информации, доступных потенциальному нарушителю.
• Анализ веб-приложения от имени аутентифицированного и анонимного пользователя.
• Автоматизированное сканирование на наличие веб-уязвимостей с использованием зарекомендовавших себя инструментальных средств.
• Ручная верификация и анализ результатов инструментального сканирования, проверка соответствия конфигурации веб-приложения рекомендациям по безопасной настройке программного обеспечения (CMS, фреймворков, веб-сервера, сервера приложений и т.п.).

Ручная проверка проходит по методологии OWASP Top 10, но не ограничивается ею. Проверка включает в себя следующие категории:

• ошибки контроля доступа;
• криптографические сбои;
• инъекции;
• неправильные конфигурации;
• уязвимые и устаревшие компоненты;
• ошибки идентификации и аутентификации;
• ошибки целостности программного обеспечения и данных;
• регистрация безопасности и мониторинг сбоев;
• подделка запросов на стороне сервера;
• прочие атаки, целью которых является выполнение кода на стороне сервера;
• подбор паролей пользователей веб-приложения.

Обеспечьте безопасность мобильных приложений, защитите бренд компании от негативных последствий возможных атак.

Средняя продолжительность от 10 дней

• Зависит от количества приложений.

Объекты сканирования

• Мобильные приложения.

Используемые методы

• Получение предварительной информации о приложении.
• Анализ приложения от имени авторизованного и неавторизованного пользователя.
• Автоматизированное сканирование на наличие уязвимостей при помощи специальных инструментальных средств.

Ручная проверка проводится в соответствии с методологией OWASP Mobile Top 10 и включает проверку следующих категорий уязвимостей:

• ошибки аутентификации и авторизации;
• недостаточная защита хранилища данных;
• недостаточная защита передачи данных;
• недостаточная защита сессий и временных файлов;
• небезопасная логика приложения;
• ошибки на стороне сервера;
• небезопасная конфигурация;
• недостаточная защита от социальной инженерии;
• небезопасная использование компонентов.

Найдите уязвимости в архитектуре и организации беспроводного доступа и клиентских устройств.

Средняя продолжительность 15-20 дней

Объекты тестирования

• Беспроводные сети компании.
• Аппаратное обеспечение сетей Wi-Fi.

Используемые методы

• Сканирование диапазона Wi-Fi-сетей и получение информации о точках доступа.
• Проведение атак на сети Wi-Fi (WPS, PMKID, WPA, WPA2).
• Выявление недостатков в организации беспроводных сетей и недостатков конфигурации точек доступа, позволяющих проводить атаки на сетевое оборудование, сети и клиентов сетей.
• Проведение атак на WPA2 Enterprise.

Оцените уровень осведомленности сотрудников организации в вопросах информационной безопасности, а также их готовность распознать фишинговые рассылки и мошеннические звонки.

Средняя продолжительность 15-25 дней

Объекты тестирования

• Персонал компании, в том числе сотрудники служб ИТ и ИБ.
• Средства зашиты от фишинговых атак и эксплуатации уязвимостей нулевого дня.
• Рабочие станции.

Используемые методы

• Поиск в сети интернет сведений, часто используемых при атаках (утечки данных, несанкционированное использование учетных записей и т.д.).
• Почтовые рассылки с имитацией вредоносного вложения.
• Почтовые рассылки с имитацией вредоносной ссылки.
• Почтовые рассылки с имитацией вредоносного офисного документа.
• Целевое общение с сотрудниками по телефону (корпоративному) с целью получения конфиденциальной информации.

Тестирование на проникновение (пентест/pentest, penetration test) – один из элементов аудита защищенности информационной системы. Пентест это не только элемент комплексного аудита информационной безопасности, но и самодостаточный инструмент для оценки реального уровня защищенности IT-инфраструктуры.

Пентест проверяет насколько уязвим бизнес и его информационные системы для злоумышленников в текущий момент времени.
Аудит ИБ позволяет выстроить или оценить ИБ и ИТ-процессы глобально, чтобы обеспечить необходимый уровень защиты чувствительной информации компании.

Анализ защищённости предназначен для поиска всех возможных уязвимостей в IT-инфраструктуре. При базовом анализе защищенности исследование прекращается после обнаружения недостатка, то есть услуги не включают в себя выполнение атаки с эксплуатацией найденной уязвимости, как при тестировании на проникновение.

Infosecurity проводит как комплексный анализ защищенности, включающий в себя тестирование на проникновение, так и отдельно пентест в зависимости от потребностей организации.

Черный ящик (Black Box)
При тестировании методом «черного ящика» специалисты не имеют доступа к внутренней инфраструткуре и моделируют действия злоумышленников, не обладающих специальными знаниями о системе. Пентестеры не получают архитектурные схемы или исходный код, что делает тестирование максимально приближенным к реальной атаке и требует высоких технических навыков. Основной недостаток метода — если периметр не взломан, уязвимости внутренних сервисов остаются незамеченными и неисправленными.

Серый ящик (Grey Box)
Метод «серого ящика» предполагает, что пентестеры имеют ограниченную информацию о системе, включая документацию и непривилегированную учетную запись. Это позволяет более целенаправленно и эффективно оценивать безопасность, сосредотачиваясь на наиболее критичных системах с самого начала. Также тестирование может включать проверку безопасности внутри усиленного периметра, имитируя злоумышленника с долгосрочным доступом к сети.

Белый ящик (White Box)
При тестировании методом «белого ящика» пентестеры обладают полным доступом к внутренней структуре и реализации системы. Этот метод включает анализ потоков данных, управления, информации, а также методов кодирования и обработки ошибок. Пентестеры имеют административные права и полное представление об IT-инфраструктуре компании, что позволяет им проводить всестороннюю проверку безопасности.

Тестирование методом «белого ящика» может быть выполнено:

• Для проверки того, соответствует ли реализация кода предполагаемому замыслу
• Для проверки реализованных функций безопасности
• Для выявления уязвимостей, которые можно использовать

Проверять свою инфраструктуру нужно как минимум раз в год и постоянно мониторить на возможные уязвимости.

• Банки и НКО обязаны проводить пентест ежегодно, согласно положению 683-П ЦБ РФ, не реже 2 раз в год
• Пентест системы безопасности достаточно проводить 2–3 раза в год
• Пентест приложений нужно проводить с такой же частотой, с которой оно обновляется

В каких случаях нужно проводить пентест:

• Как только выстроили новый ИТ-ландшафт
• Если планируете масштабировать свою инфраструктуру
• Когда внесли изменения в существующий периметр

Тестирование на проникновение позволяет:

• Соблюсти выполнение требований стандартов и нормативных документов. Например, положение 719-П ЦБ РФ, ГОСТ Р 57580.1-2017, требование пункта 11.3 стандарта PCI DSS и пр.
• Предупредить инциденты информационной безопасности
• Оценить эффективность используемых средств защиты информации
• Выявить и устранить уязвимости в защите информационных систем
• Оценить эффективность бизнес-процессов и менеджмента информационной безопасности
• Получить обоснование финансовых затрат на изменения в системе информационной безопасности
• Составить план реагирования на атаки, позволяющий снизить возможность их реализации

Банки и другие финансовые организации обязаны проводить пентест, исходя из Положения 683-П ЦБ РФ и ГОСТ 57580. Они обязывают банки проводить тестирование на проникновение для оценки уровня защиты информационных систем.

Объекты критической информационной инфраструктуры (КИИ) также обязаны проводить тестирование на проникновение, согласно Приказу ФСТЭК № 239.

Пентест проводится не только для соответствия требованиям законодательства и регуляторов. Тестирование на проникновение помогает частным и государственным компаниям объективно оценить уровень защищенности своей инфраструктуры и надежность систем защиты. Вовремя не выявленные уязвимости могут причинить серьезный финансовый и репутационный ущерб.