Тестування на проникнення

Тестування на проникнення

Тестування на проникнення запобігає економічним та репутаційним втратам шляхом перевірки або побудови ефективного інформаційного захисту компанії.

У ході тестування виконується виявлення та перевірка вразливостей у системі, які могли виникнути через програмні та технічні помилки, неправильні налаштування, операційні недоліки тощо. Також тестування дозволяє наочно продемонструвати актуальність виявлених уразливостей та значимість потенційного збитку для компанії-замовника.

Ініціалізація

Результати етапу:● Сформована та затверджена робоча група● Визначені та затверджені область дії та параметри тестування, можливі ризики та обмеження, план-графік проведення робіт, регламент комунікацій

Збір даних із відкритих джерел інформації (пасивний збір інформації)

Результати етапу:Виконано не інтерактивне дослідження інфраструктури, що підлягає тестуванню. З відкритих джерел зібрана та систематизована інформація щодо цієї інфраструктури. Виконана підготовка до етапу активного збору інформації.

Активний збір інформації

Інструментальний аналіз захищеності зовнішнього периметру по діапазону IP-адрес:● Виявлення ресурсів● Виявлення вразливостей● Аналіз уразливостей● Здійснення доступу (перевірка вразливостей)

Аналіз результатів та розробка звіту

Результати етапу:Задокументований звіт, що містить виявлені вразливості, результати та докази перевірки актуальності вразливостей, а також рекомендації щодо управління ризиками, що пов’язані з виявленими вразливостями.

Демонстрація та обговорення результатів

Зовнішнє і внутрішнє тестування

Тестування моделює дії зловмисника, який має доступ до внутрішньої мережі компанії, і дозволяє виявити, наскільки потенційний зловмисник може нашкодити ІТ інфраструктурі.

● Збір усієї інформації про область дії тестування, використовуючи методи OSINT (Open Source Intelligence)● Використання автоматизованих систем збору інформації, сканерів, інвазійних методів розвідки● Імітація діяльності порушника інструментами експуатації вразливостей (експлойти), техніки здійснення атак та інші дії● Підвищення привілеїв, виявлення можливості розширення поверхні атаки, отримання доступу до даних інших користувачів, закріплення в системі ● Звіт, що містить безпосередню оцінку безпеки, оцінки ризиків та вразливостей, рекомендації щодо їх усунення

Тестування на стійкість до DDoS-атак

Тестування на стійкість до DDoS - перевірка здатності інформаційних систем протидіяти атакам, спрямованим на порушення доступності інформації. У рамках тестування нашою командою розгортається мережа з віртуальних серверів (Botnet), розгорнутих у різних частинах світу. Керування мережею та запуск симуляції атаки здійснюється за допомогою технології C&C.

Open Source Security Testing Methodology Manual

Високорівнева методологія тестування систем безпеки, яка розроблена та підтримується консорціумом «Institute for Security and Open Methodologies». У межах тестування ця методологія використовується як основа для планування і координації робіт, а також для складання звітів за його результатами.

Penetration Testing Execution Standard

Методологія, яка розробляється групою фахівців із тестування на проникнення, аудиту безпеки та соціальної інженерії. Методологія доповнює OSSTMM у ході планування та координації проєкту, а також використовується на етапі неавтоматизованого пошуку й аналізу вразливостей ІТ-систем в області дії тесту.

Technical Guide to Information Security Testing and Assessment

Методологія інструментального тестування безпеки ІТ-систем, обов'язкова до застосування у федеральних агентствах США. Ця методологія використовується на етапі автоматизованого пошуку й аналізу вразливостей ІТ-систем в області дії тестування, а також у ході можливої імітації атак із використанням виявлених уразливостей.

OWASP Testing Guide v4

Індустріальний стандарт тестування на проникнення веб-додатків і пов'язаних із ними технологій. Методологія використовується при тестуванні веб-додатків.