Пентест — тестирование
на проникновение

Тестирование на проникновение внешнего периметра направлено на поиск путей проникновения внешнего нарушителя во внутреннюю сеть с использованием уязвимостей и ошибок конфигурации устройств, доступных из сети Интернет, сетевых служб и приложений.

Используемые методы:

• OSINT (Open-Source Intelligence) исследование — получение предварительной информации о сетевом периметре на основе источников информации, доступных потенциальному нарушителю (поисковые системы, новости, конференции и т.п.). Сканирование хостов сетевого периметра, определение типов устройств, операционных систем и приложений.
• Проведение сканирования на наличие уязвимостей.
• Анализ защищенности сервисов сетевой инфраструктуры и электронной почты.
• Анализ защищенности систем совместной работы SharePoint, OWA, Confluence и других.
• Проведение брутфорс-атак.
• Идентификация уязвимостей сетевых служб и приложений.
• Эксплуатация наиболее критичных уязвимостей с целью преодоления сетевого периметра.
• Анализ возможностей развития атаки во внутреннюю сеть.

Тестирование на проникновение внутреннего периметра направлено на анализ защищенности внутреннего контура от атак со стороны нарушителя, имеющего доступ к локальной сети организации. Работы данного этапа могут осуществляться как локально, так и удаленно, с помощью защищенного подключения по технологии VPN.

Используемые методы:

• Пассивный сбор информации о подсети.
• Перехват и анализ сетевого трафика.
• Проведение сетевых атак.
• Сканирование узлов, доступных из пользовательского сегмента ЛВС, сбор информации об открытых портах, определение типов устройств, анализ сетевой сегментации.
• Проведение сканирования на наличие уязвимостей (если это возможно по условию внутреннего тестирования).
• Эксплуатация уязвимостей.
• Восстановление паролей и хеш-суммы паролей из оперативной памяти и реестра.
• Восстановление хеш-суммы паролей по словарю.
• Анализ Active Directory.
• Боковое перемещение (Lateral Movement) и повышение привилегий.
• Проверка возможности получения доступа к конфиденциальной информации и (или) информации ограниченного доступа.
• Производится проверка прав доступа к различным информационным ресурсам с привилегиями, полученными на различных этапах тестирования.

Тестирование на проникновение веб-приложений направлено на поиск уязвимостей, в результате эксплуатации которых атакующий может получить доступ к хранимой и обрабатываемой информации или нарушить нормальную работу сайта или веб-приложения.

Используемые методы:

• Получение предварительной информации о веб-ресурсе на основе источников информации, доступных потенциальному нарушителю.
• Анализ веб-приложения от имени аутентифицированного и анонимного пользователя.
• Автоматизированное сканирование на наличие веб-уязвимостей с использованием зарекомендовавших себя инструментальных средств.
• Ручная верификация и анализ результатов инструментального сканирования, проверка соответствия конфигурации веб-приложения рекомендациям по безопасной настройке программного обеспечения (CMS, фреймворков, веб-сервера, сервера приложений и т.п.).

Ручная проверка проходит по методологии OWASP Top 10, но не ограничивается ею. Проверка включает в себя следующие категории:

• Ошибки контроля доступа
• Криптографические сбои
• Инъекции
• Неправильные конфигурации
• Уязвимые и устаревшие компоненты
• Ошибки идентификации и аутентификации
• Ошибки целостности программного обеспечения и данных
• Регистрация безопасности и мониторинг сбоев
• Подделка запросов на стороне сервера
• Прочие атаки, целью которых является выполнение кода на стороне сервера
• Подбор паролей пользователей веб-приложения

Тестирование на проникновение Wi-Fi сетей проводится на территории организации и направлено на выявление недостатков в использовании точек доступа и клиентских устройств, недостатков в архитектуре и организации беспроводного доступа.

Используемые методы:

• Сканирование диапазона Wi-Fi-сетей и получение информации о точках доступа.
• Проведение атак на сети Wi-Fi (WPS, PMKID, WPA, WPA2).
• Выявление недостатков в организации беспроводных сетей и недостатков конфигурации точек доступа, позволяющих проводить атаки на сетевое оборудование, сети и клиентов сетей.
• Проведение атак на WPA2 Enterprise.

Социотехническое тестирование позволяет оценить уровень осведомленности сотрудников организации в вопросах информационной безопасности, а также их готовность распознать фишинговые рассылки и мошеннические звонки.

Используемые методы:

• Поиск в сети интернет сведений, часто используемых при атаках (утечки данных, несанкционированное использование учетных записей и т.д.).
• Почтовые рассылки с имитацией вредоносного вложения.
• Почтовые рассылки с имитацией вредоносной ссылки.
• Почтовые рассылки с имитацией вредоносного офисного документа.
• Размещение USB-носителей, содержание которых имитирует вредоносное программное обеспечение, на территории организации.
• Целевое общение с сотрудниками по телефону (корпоративному) с целью получения конфиденциальной информации.
• Оценка возможности преодоления физического периметра на объектах организации (в том числе, скрытного копирования электронных ключей СКУД).

Тестирование на проникновение (пентест/pentest, penetration test) – один из элементов аудита защищенности информационной системы. Пентест это не только элемент комплексного аудита информационной безопасности, но и самодостаточный инструмент для оценки реального уровня защищенности IT-инфраструктуры.

Автоматическая проверка является одним из этапов тестирования на проникновение. Сканер уязвимостей позволяет выявить базовые уязвимости в системе и собрать необходимую информацию для следующих этапов тестирования. Пентест же позволяет понять специалистам, каким образом найденными уязвимостями могут воспользоваться злоумышленники, и разработать рекомендации по их наиболее эффективному устранению. Тестирование на проникновение может включать в себя не только анализ информационных систем, но и инфраструктуры в целом: топологии сетей, настроек оборудования (в том числе Wi-Fi) и других потенциальных точек воздействия.

Анализ защищённости предназначен для поиска всех возможных уязвимостей в IT-инфраструктуре. При базовом анализе защищенности исследование прекращается после обнаружения недостатка, то есть услуги не включают в себя выполнение атаки с эксплуатацией найденной уязвимости, как при тестировании на проникновение.

Infosecurity проводит как комплексный анализ защищенности, включающий в себя тестирование на проникновение, так и отдельно пентест в зависимости от потребностей организации.

Черный ящик (black box)
При тестировании методом «черного ящика» у специалистов нет информации о системе, они моделируют поведение злоумышленников, то есть неосведомленных людей. Этот подход наиболее близок к реальной атаке и требует высокой степени технических навыков. Пентестеру не предоставляются какие-либо схемы архитектуры или исходный код, т. е. сведения не являющиеся общедоступными.

Тест на проникновение методом «черного ящика» определяет уязвимости в системе, которые можно использовать вне сети. Тестирование основано на динамическом анализе работающих в данный момент программ и систем в сети. Специалист по тестированию использует инструменты автоматического сканирования и методологии ручного тестирования на проникновение. Также специалисты создают собственную карту сети на основе своих наблюдений. Основной недостаток метода — если специалисты не могут взломать периметр, любые уязвимости внутренних сервисов остаются не обнаруженными и не исправленными.

Серый ящик (grey box)
При тестировании методом «серого ящика» пентестер имеет ограниченное представление об уровне безопасности компании. Специалисту доступна информация о внутреннем устройстве сети, включая документацию, а также имеется непривилегированная внутренняя учетная запись к сети. Цель пентеста методом «серого ящика» — обеспечить более целенаправленную и эффективную оценку безопасности сети, чем оценка «черного ящика». Используя проектную документацию сети, пентестеры могут сосредоточить свои усилия на системах с наибольшим риском и ценностью с самого начала, а не тратить время на самостоятельное определение этой информации. Внутренняя учетная запись в системе также позволяет тестировать безопасность внутри усиленного периметра и имитирует злоумышленника с долгосрочным доступом к сети.

Белый ящик (white box)
При тестировании методом «белого ящика» внутренняя структура, устройство и реализация системы известны специалистам по пентесту. Тестирование методом «белого ящика» включает в себя анализ потока данных, потока управления, потока информации, методов кодирования. А также обработки ошибок в системе для проверки предполагаемого и непреднамеренного поведения ПО. Иными словами, метод заключается в том, что пентестер обладает правами доступа администратора и имеет полное представление об IT-инфраструктуре компании.

Тестирование методом «белого ящика» может быть выполнено:

• Для проверки того, соответствует ли реализация кода предполагаемому замыслу
• Для проверки реализованных функций безопасности
• Для выявления уязвимостей, которые можно использовать

Пентест должен проводиться с такой же частотой, с какой обновляется целевое приложение. Если речь идёт о тестировании системы безопасности, такой анализ достаточно проводить 2–3 раза в год. Банки и НКО обязаны проводить пентест ежегодно, согласно положению 683-П ЦБ РФ.

Тестирование на проникновение позволяет:

• Соблюсти выполнение требований стандартов и нормативных документов. Например, положение 719-П ЦБ РФ, ГОСТ Р 57580.1-2017, требование пункта 11.3 стандарта PCI DSS и пр.
• Предупредить инциденты информационной безопасности
• Оценить эффективность используемых средств защиты информации
• Выявить и устранить уязвимости в защите информационных систем
• Оценить эффективность бизнес-процессов и менеджмента информационной безопасности
• Получить обоснование финансовых затрат на изменения в системе информационной безопасности
• Составить план реагирования на атаки, позволяющий снизить возможность их реализации

Банки и другие финансовые организации обязаны проводить пентест, исходя из Положения 683-П ЦБ РФ и ГОСТ 57580. Они обязывают банки проводить тестирование на проникновение для оценки уровня защиты информационных систем.

Объекты критической информационной инфраструктуры (КИИ) также обязаны проводить тестирование на проникновение, согласно Приказу ФСТЭК № 239.

Пентест проводится не только для соответствия требованиям законодательства и регуляторов. Тестирование на проникновение помогает частным и государственным компаниям объективно оценить уровень защищенности своей инфраструктуры и надежность систем защиты. Вовремя не выявленные уязвимости могут причинить серьезный финансовый и репутационный ущерб.