ООО "Инновационные Технологии в Бизнесе"

 

          Siem Analytics

 Поиск

 

Версия для печати Уменьшить шрифт Увеличить шрифт УСЛУГИ

      ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ (PENTEST)

Авторизованный партнер Positive Technologies Компания ООО «Инновационные Технологии в Бизнесе» оказывает услуги по тестированию на проникновение (Pentest) информационных систем. За последние годы специалистами компании был получен богатейший опыт проведения тестирования на проникновении информационных систем Заказчиков. Используя инновационные подходы, методики, и передовые средства специалисты компании провели тестирование ИС, ИСПДн, АС, АСУ ТП, ГИС. Основными обследуемыми объектами информатизации выступали:

Генерирующие компании (ГЭС, ТЭЦ).

Энергосбытовые компании.

Компании Группы «Интер РАО ЕЭС».

Государственные и корпоративные порталы.

В состав тестирования на проникновение входят:

попытки получения учетных записей, паролей пользователей и администраторов;

сбор информации о доступных ресурсах (сетевых сервисах, операционных системах и приложениях) и определение мест возможного хранения/обработки критичных данных; и администраторов;

поиск уязвимостей ресурсов, способных привести к возможности осуществления несанкционированных воздействий на них;

попытки получения несанкционированного доступа к серверам, базам данных, с использованием уязвимостей программного обеспечения, сетевого оборудования, некорректных настроек.

Поиск уязвимостей в веб-приложениях

Поиск уязвимостей в веб-приложениях порталов Заказчика, эксплуатация которых может привести к неавторизованному доступу к критичным данным, производится экспертно-инструментальным методом специалистами Исполнителя посредством:

Анализа страниц авторизации, в том числе с применением программы-анализатора трафика.

Использования сервиса Whois для получения дополнительной информации о целевой системе.

Использования сканеров безопасности веб-приложений, в том числе для поиска уязвимостей типа SQL injection, а также уязвимостей Cross-Site-Scripting (XSS).

Использования специализированного сканера SQL injection в случае обнаружения уязвимостей типа SQL injection на целевой системе, с целью получения доступа к защищаемой информации, в том числе учетным данным пользователей системы.

Использования специализированных сканеров безопасности веб-приложений для анализа TLS/SSL протоколов, а также применяемых алгоритмов шифрования.

Нагрузочное тестирование (DOS-атака)

По предварительному согласованию со специалистами Заказчика ответственными за обеспечение информационной безопасности порталов Заказчика возможно проведение нагрузочного тестирования на предмет отказоустойчивости порталов так называемым DOS-атакам, с применением специализированного программного обеспечения. Специализированное программное обеспечение выполняет атаку вида «отказ в обслуживании» путём постоянных передач на нужный сайт или узел TCP-, UDP-пакетов или HTTP-запросов с целью появления сбоев в работе целевого узла, стоит отметить что данное программное обеспечение способно отправлять запросы в режиме многопоточности. Стоит отметить что в общем случае для не стабильной работы целевой системы как правило достаточно в 200 потоков отправить 65 000 000 UDP запросов на 80 или же 443 TCP порт, что займет около 20 минут.

Анализ результатов

По результатам выполнения заданных проверок формируется сводный отчет в формате rtf, html или pdf. Экспертом Исполнителя проводится анализ обнаруженных уязвимостей и степени их влияния на защищенность объекта обследования осуществляется экспертным методом. Формат описания уязвимостей включает:

краткое описание;

подробное описание;

решение;

ссылки;

оценка по системе CVSS (Common Vulnerability Scoring System).

Например в системе контроля защищенности и соответствия стандартов MaxPatrol используется два типа классификации уязвимостей по степени риска:

качественная (три степени риска, информация);

система CVSS.

Первая классификация основана на простой градации степени риска уязвимостей. Фактически такая система отражает мнение разработчиков сканера относительно степени опасности уязвимости. При принятии решения об устранении уязвимости этого не всегда бывает достаточно. Более гибкие принципы заложены в основу общей системы оценки уязвимостей Common Vulnerability Scoring System (CVSS). Система CVSS предполагает разбиение характеристик уязвимости на три группы:

базовые (Base);

временные (Temporal);

связанные со средой эксплуатации (Environmental).

Лежащая в основе CVSS методика позволяет легко оценить информацию о существующих уязвимостях в информационных системах по различным критериям. В отчетах системы контроля защищенности и соответствия стандартов MaxPatrol для большинства уязвимостей присутствует базовая оценка CVSS, для некоторых уязвимостей приведена также и временная оценка. При классификации и оценке степени опасности уязвимости следует учитывать также классификацию:

уязвимости реализации (Vulnerability);

уязвимости конфигурации (Exposure).

Уязвимости реализации обусловлены ошибками проектирования и реализации ПО, которые могут быть напрямую использованы нарушителем для получения доступа к ресурсам системы в обход принятых правил разграничения доступа, например:

выполнение нарушителем команд от имени другого пользователя;

получение доступа к данным с нарушением правил разграничение доступа;

инициирование отказа в обслуживании.

Для эксплуатации уязвимостей реализации нарушителю необходимо применять специальные программные средства. Устранение такого рода уязвимостей, как правило, требует установки обновлений безопасности. Уязвимости конфигурации обусловлены ошибками конфигурирования или ошибками ПО. Такого рода уязвимости не позволяют нарушителю напрямую получить доступ к ресурсам системы, однако являются важным элементом для успешного проведения атаки, например:

позволяют атакующему получить необходимую информацию;

позволяют атакующему скрыть следы своей деятельности;

позволяют получить доступ путем подбора идентификатора и пароля в короткие сроки.

Для эксплуатации уязвимостей конфигурации не всегда требуются специальные программные средства. Нарушитель может воспользоваться штатными средствами системы. Устранение такого рода уязвимостей, как правило, требует внесения изменений в настройки системы. Определение уровня защищенности объекта обследования осуществляется путем обработки, анализа и оценки результатов аудита состояния информационной безопасности корпоративной информационной системы. По результатам, полученным в ходе оказания услуги, экспертами дается заключение об уровне защищенности объекта обследования и приводятся рекомендации по его повышению.

Задать вопрос

Пример краткого отчета по тестированию на проникновение (Pentest)



Правовая информация | Заявление о конфиденциальности | Использование Cookie | Карта сайта | Контакты

© ООО «ИТБ» 2009-2017 г.
Все права защищены. 

Рейтинг@Mail.ru Яндекс.Метрика

Наверх