
Музалевский Федор Александрович
Ведущий эксперт компьютерно-технического направления
Опыт: Экспертная работа с 2010 года. Педагогический стаж с 2012 года. Кандидат физико-математических наук. Доцент кафедры ВМ и ИТ ФГБОУ ВО «ВГУИТ»
Все экспертыВедущий эксперт компьютерно-технического направления
Опыт: Экспертная работа с 2010 года. Педагогический стаж с 2012 года. Кандидат физико-математических наук. Доцент кафедры ВМ и ИТ ФГБОУ ВО «ВГУИТ»
Все эксперты
Обратите внимание!
Компания работает с юридическими лицами, ИП и бюджетными организациями по безналичному расчету.
Работа с физическими лицами временно не осуществляется.
Наименование услуги | Стоимость |
---|---|
Консультация |
Бесплатно |
Тестирование на проникновение (пентест) и анализ уязвимостей Срок — от 2 недель |
от 150 000 руб. |
Работаем с юридическими лицами, ИП и бюджетными организациями по безналичному расчету. |
Включает ли пентест сайта анализ php-кода?
Андрей
Здравствуйте.
В зависимости от условий договора и, как следствие, формата пентеста, возможны варианты как с анализом, так и без. Также опционально возможна проверка защищенности WEB-сервера, на котором расположен сайт и социальная инженерия административных учетных записей.
Подскажите, как влияет объем закладываемых в пентест узлов исследуемой инфраструктуры на качество пентеста. Пример, у компании есть центральный аппарат и филиалы. Все они в единой сети и домене. Если выбрать 2-а филиала на тестирование и не тестировать центральный аппарат, какие риски возникнут в этой ситуации
Андрей
Тестирование части сети не имеет смысла, так как уязвимости, которые могут присутствовать в сегментах, не подверженных тестированию, могут привести к компрометации всей сети. Источниками угроз также может быть некорректная настройка сетевого оборудования между центром и филиалами.
Поэтому если все узлы находятся в единой сети и домене, то и тестироваться они должны как единая сеть и домен.
Как проводят пентест? Какая методика проведения? Проводят внутреннее или внешнее сканирование?
Андрей
Пентест надо делать как следует. Это не просто требование ЦБ, а реальный инструмент, который позволяет повысить уровень информационной безопасности. Для тех, кто хочет сэкономить, скажу так: ЦБ не регламентирует формат проведения пентеста. Официального документа нет, методики или даже разъяснений по этому поводу тоже нет. То, что говорится кулуарно, может говориться бесконечно долго, но на сегодняшний день методики нет.
Мы рекомендуем внешнее тестирование и внутреннее хотя бы с дистанционным подключением эксперта. Но хотелось сказать, что сканирование и тестирование — это немножко разные вещи. Сканирование банк должен выполнять самостоятельно, причём на постоянной основе, а не один раз в год. Про это есть целая группа мер в ГОСТ 57580. Тестирование предполагает помимо сканирования ещё и анализ этих самых уязвимостей, по согласованию с банком их эксплуатации и иные действия, чтобы попасть в инфраструктуру банка дальше и получить доступ к конфиденциальной информации.
Если коротко, методики нет, поэтому каждый делает, как хочет. И если методика когда-нибудь появится, то тогда появятся какие-то рамки, в которых мы будем работать, а пока ничего не понятно.
Как связаны между собой эти процедуры: пентест, анализ уязвимостей информационной безопасности объектов ИИ, анализ уязвимостей ПО?
Михаил
Пентест включает в себя анализ уязвимостей инфраструктуры — серверов, сетей, сайтов. В ходе пентеста производится не только выявление уязвимостей, но и их эксплуатация (разумеется, по согласованию с заказчиком). Помимо этого, в ходе пентеста могут проводиться сопутствующие работы, такие как социальная инженерия или анализ физической защищенности контролируемой зоны Заказчика.
Исследование ПО на уязвимости по уровню ОУД4 — это отдельное требование 382-П и 683-П/684-П. Оно включает в себя анализ документации на программное обеспечение с расчетом потенциала злоумышленника, способного взломать приложение, и пентест самого приложения. То есть отличается от пентеста или анализа уязвимостей инфраструктуры составом работ и областью тестирования.
Банком приобретается новое мобильное приложение, когда надо проводить пентест?
Ольга
Пентест надо проводить (согласно 382-П, 683-П) ежегодно. Если мы смотрим ГОСТ 57580 там есть отдельные пункты жизненного цикла, и пентест также требуется проводить ежегодно либо при смене инфраструктуры. Но если Вами приобретается новое мобильное приложение, то оно должно пройти (на данный момент) анализ уязвимостей по ОУД4, это не пентест, но другое требование. С точки зрения Банка России, анализ уязвимостей должен быть проведен до того, как Вы запускаете приложение в эксплуатацию.
Здравствуйте. Я студент, учусь на специалиста по информационной безопасности, пишу курсовую на тему: «Особенности внедрения подсистем предотвращения утечек КИ в систему комплексной безоп на пп.»
Как основную систему предотвращения утечек рассматриваю систему DLP и был бы очень благодарен, если Вы поможете с основными (общими) этапами проведения пентеста.
Студент
Добрый день.
DLP, как класс систем, является даже не основным, а, скорее, единственным. Просто многие продукты, позиционируемые иначе, содержат функционал DLP (например, тот же KES с возможностью блокировки флешек).
На Вашем месте я бы сделал упор не на пентест, а на возможности интеграции DLP с другими системами безопасности — в первую очередь SIEM и AD — так как комплексная система содержится в названии работы.
Отвечая на Ваш вопрос можно выделить (не всегда этапы таковы, но в среднем похоже):
- инвентаризация области тестирования — сбор сведений об узлах сети, информационных системах, сетевом трафике, учетных данных и прочее — зачастую конфиденциальная информация находится уже на этом этапе в открытом доступе;
- поиск уязвимостей — по общедоступным базам либо закрытым базам тестировщиков;
- проверка прочности аутентификации (брутфорс);
- попытка повышения прав доступа;
- доступ к конфиденциальной информации.