Опыт компании
Основными заказчиками услуг по тестированию на проникновение выступали:
- Генерирующие компании: ГЭС и ТЭЦ.
- Энергосбытовые компании.
- Компании Группы «Интер РАО ЕЭС».
- Государственные и корпоративные порталы.
Анализ защищённости 
Компания ООО «Инновационные Технологии в Бизнесе» оказывает услуги по тестированию на проникновение информационных систем. Специалисты компании проводят тестирование ИС, ИСПДн, АС, АСУ ТП и ГИС.
Тестирование на проникновение
Пентест показывает, насколько информационная система устойчива к реальным сценариям атак и какие уязвимости необходимо устранить в первую очередь.
Тестирование на проникновение (Pentest)
Компания ООО «Инновационные Технологии в Бизнесе» оказывает услуги по тестированию на проникновение информационных систем. Специалисты компании проводят тестирование ИС, ИСПДн, АС, АСУ ТП и ГИС. Для руководителя пентест — это не техническая атака ради проверки, а практический инструмент оценки устойчивости организации к современным угрозам. Результаты тестирования показывают, где находятся слабые места, насколько эффективны текущие меры защиты и какие решения необходимо принять для снижения рисков.
Наши специалисты проводят тестирование в контролируемых условиях с применением ручных и автоматизированных методов, моделируя действия потенциального нарушителя. Заказчик получает отчёт с выявленными уязвимостями, оценкой риска и конкретными рекомендациями по устранению недостатков.
Итог для руководителя
Пентест помогает своевременно закрыть критичные слабые места, снизить риск утечек и остановки бизнес-процессов, а также повысить зрелость процессов информационной безопасности.
Состав услуги
В состав работ по тестированию на проникновение могут входить:
Реальный кейс
0
записей персональных данных
Могли оказаться в открытом доступе
В 2024 году специалисты ООО «ИТБ» провели тестирование на проникновение для одной из крупнейших фармацевтических компаний России. В ходе аудита были выявлены критические уязвимости, создававшие риск масштабной утечки данных.
О штрафах за утечку персональных данныхПорядок проведения работ
Методика представляет собой последовательность действий, выполняемых для тестирования на проникновение информационных ресурсов заказчика.
В работе применяются ручные методы проверки уязвимостей и автоматизированные средства их обнаружения. Основной акцент делается на выявлении наиболее критичных уязвимостей и сценариев, способных привести к существенным негативным последствиям.
Методики и стандарты
- PTES Penetration Testing Execution Standard.
- NIST SP 800-115 Technical Guide to Information Security Testing and Assessment.
- OSSTMM Open Source Security Testing Methodology Manual.
- ISSAF Information Systems Security Assessment Framework.
- WASC Web Application Security Consortium Threat Classification.
- OWASP Testing Guide Методики тестирования безопасности веб-приложений.
- PCI DSS Payment Card Industry Data Security Standard.
- CIS Стандарты Center for Internet Security.
- CVSS Common Vulnerability Scoring System.
- OWASP RRM OWASP Risk Rating Methodology.
- CWE Common Weakness Enumeration List of Software & Hardware Weakness Types.
Исследование внешнего периметра
Исполнитель имитирует действия потенциального внешнего нарушителя, который знает название организации и наименование исследуемой информационной системы и пытается получить доступ через Интернет.
Исследование предлагается проводить методом «чёрного ящика» в сочетании с «серым ящиком». В качестве потенциального нарушителя рассматривается внешнее физическое лицо с ограниченным доступом к ИТ-инфраструктуре через публичную сеть Интернет.
- Внешнее инструментальное сканирование доступных сетевых служб.
- Поиск уязвимостей веб-интерфейсов системы.
- Ручная валидация и верификация уязвимостей.
Ручная верификация позволяет сократить количество ложных срабатываний и выявить категории уязвимостей, которые не обнаруживаются автоматизированным сканированием.
При проведении работ используются рекомендации OSSTMM и OWASP. Для выявленных уязвимостей оценивается уровень риска и формируются рекомендации по устранению.
По результатам анализа подготавливается отчёт с описанием выполненных работ, результатов и рекомендаций по устранению найденных уязвимостей и недостатков конфигурации.
Исследование внутреннего периметра
Исполнитель имитирует действия потенциального внутреннего нарушителя — пользователя, имеющего штатный доступ к внутренней сети и, возможно, к отдельным информационным системам.
Исследование проводится с использованием сведений об архитектуре системы и другой релевантной информации, полученной от заказчика. Основной формат — «серый ящик».
- Инструментальный анализ защищённости.
- Ручной поиск и верификация уязвимостей и недостатков, обнаруженных автоматизированными средствами.
Ручная верификация помогает снизить количество ложных срабатываний и обнаружить уязвимости, которые сложно выявить автоматизированными средствами.
При проведении работ используются рекомендации OSSTMM и OWASP. Для каждой выявленной уязвимости оценивается уровень риска и формируются рекомендации.
Результатом становится отчёт с описанием проведённых работ, выявленных проблем и способов их устранения.
Анализ защищённости веб-приложений
Цель анализа защищённости веб-приложений — оценить способность потенциального злоумышленника обойти существующие механизмы защиты, получить несанкционированный доступ к критичным данным, нарушить работу приложения или атаковать его пользователей.
Для выявления и классификации уязвимостей используются общепринятые классификации и подходы, включая OWASP и CVSS.
После окончания работ предоставляется отчёт на русском языке со всеми выявленными уязвимостями, сценариями атак и рекомендациями по устранению. После устранения уязвимостей проводится финальная проверка.
По согласованию с заказчиком при использовании метода «белого ящика» проводится статический анализ исходного кода приложения для поиска дефектов и критических ошибок.
Возможные этапы тестирования
- Сбор информации о приложении
- Обнаружение ошибок исполнения
- Анализ защищённости канала передачи данных
- Тестирование управления пользователями
- Тестирование механизма аутентификации
- Тестирование механизма авторизации
- Тестирование управления сессиями
- Тестирование валидации пользовательских данных
- Тестирование бизнес-логики приложения
- Поиск векторов атак на клиентов приложения
- Автоматизированный анализ
- Подготовка итогового отчёта
Состав работ определяется задачей
В зависимости от задачи тестирования на проникновение, особенностей объекта и требований заказчика перечень этапов может корректироваться с учётом специфики проекта.
Социотехническое тестирование
Социотехническое тестирование направлено на оценку рисков, связанных с человеческим фактором: недостаточной внимательностью, нехваткой знаний в области информационной безопасности или нелояльностью персонала.
Основные сценарии моделируют попытки получения конфиденциальной информации и проникновения в корпоративную сеть через сотрудников.
- Сбор сведений об информационной инфраструктуре и сотрудниках из общедоступных источников.
- Моделирование атак с использованием методов социальной инженерии и специализированного программного обеспечения.
Каналы взаимодействия
Публикации
Все публикации
Документация и файлы
Получите консультацию эксперта
Опишите объект тестирования, внешний и внутренний периметр, используемые веб-приложения и цели проверки. Специалисты ИТБ помогут определить оптимальный формат и состав работ.
ГКУЗ ЛО ЦЕНТР СПИД
Заявка 2783934396421000032 "Услуги по защите информации (Аттестация объекта информатизации в составе 4-х АРМ на соответствие требованиям безопасности информации)" выполнен без всяких нюансов. Большое спасибо этим ребятам за высокое качество работы и ответственность. Минусов нет!Все отзывы