Мы проводим комплексное тестирование корпоративных сетей на предмет наличия уязвимостей и несанкционированного проникновения.
Тестирование на проникновение или «пентест» (penetration test с англ. – тест на проникновение) – исследование защищённости компьютерных систем, которое производится нами путём симуляции действий злоумышленника с применением широкого спектра инструментов, однако, без нарушения работоспособности испытываемых систем. По итогу тестирования мы предоставляем заказчику наглядный подробный отчет об уязвимостях корпоративной сети и демонстрируем последствия злонамеренной эксплуатации данных уязвимостей.
Для устранения уязвимостей мы принимаем комплекс мер, в том числе - настройку сетевого оборудования, установку, адаптацию, конфигурирование и тестирование программного обеспечения для защиты информации, а также проводим подробный инструктаж персонала по информационной безопасности.
Цель тестирования – выявить наиболее уязвимые места в программном и аппаратном обеспечении, а также недостаточную осведомлёность сотрудников в вопросах информационной безопасности, которая способна привести к нарушению тайны, целостности и доступности чувствительной информации.
Проводится исключительно программными средствами и позволяет оценить состояние IT-инфраструктуры в аспекте её устойчивости к атакам.
Выявление слабых мест в системе, обусловленных человеческим фактором и осуществляется с применением методов социальной инженерии.
Проводится в рамках концепции Black Box или слепого метода, когда тестер изначально не владеет никакой информацией о внутренней структуре сети и используемом в ней программном обеспечении. Используем следующее ПО (включая, но не ограничиваясь):
Kali Linux, IDA, nmap, Nesus, BloodHound, Burp Suite, SQLmap, Certipy, Netexec, Acunetix.
Конечный набор компонентов стека технологий будет зависеть от конкретных потребностей заказчика, масштаба корпоративной сети, сроков и бюджета.
В общем случае такое тестирование состоит из следующих этапов:
Включает в себя сбор общеоступной информации о цели, например, определение интернет–провайдера, сетевых и доменных имён, номеров телефонов. Это позволит в общих чертах понять, как устроена целевая сеть и наметить наиболее предпочтительные направления для атаки.
Построение карты сети и определение используемых в ней устройств, операционных систем и приложений путём анализа их реакции на попытки вторжения. Полученные в результате данные используются для атак на веб-приложения, таких как XSS, SQL-Injection, Backdoor, OS Command Injection, чтобы раскрыть имеющиеся в них уязвимости.
На этом этапе тестер, основываясь на добытых ранее сведениях, пытается получить доступ к чувствительным данным с максимальными правами, при этом оставаясь незамеченным для IT–персонала исследуемой сети, и оценивает вероятный ущерб, который мог бы нанести злоумышленник.
Итоговый документ содержит изложение хода тестирования, перечень использованных средств и методов, описание конкретных уязвимостий, эксплуатация которых позволила тестеру проникнуть в сеть,а также подробные рекомендации по их устранению.
Сотрудникам компании–заказчика под видом деловых писем или писем от коллег направляются сообщения, содержащие исполняемый код, позволяющий получить доступ к рабочей станции пользователя, либо содержащие ссылку на веб-ресурс с таким кодом.
Звонки сотрудникам от имени персонала департамента информационной безопасности, руководства компании, или представителя банка с просьбами о смене/выдаче их персональных или учётных данных.
По материалам тестирования также составляется отчёт и перечень рекомандаций по обнаруженным проблемным областям. Результаты такого тестирования могут быть использованы в разработке программы повышения осведоблённости персонала в вопросах информационной безопасности.
Прайс: итоговая стоимость предоставления услуг обсуждается индивидуально в зависимости от объема и специфики поставленных задач.
Для офиса транспортной компании мы разработали проект локальной сети, настроили сетевое оборудование, снабдили полным пакетом программного обеспечения 40 рабочих станций, провели комплексное тестирование сети и инструктаж сотрудников по информационной безопасности.
Мы используем файлы cookies для улучшения работы сайта. Оставаясь на нашем сайте, вы соглашаетесь с условиями использования файлов cookies. Чтобы ознакомиться с нашими Положениями о конфиденциальности и об использовании файлов cookie, нажмите здесь.