Эксперт в сфере информационной безопасности
Опыт: Экспертная работа и педагогический стаж с 2008 года
Все эксперты
Ведущий эксперт компьютерно-технического направления
Опыт: Экспертная работа с 2010 года. Педагогический стаж с 2012 года. Кандидат физико-математических наук. Доцент кафедры ВМ и ИТ ФГБОУ ВО «ВГУИТ»
Все экспертыК сожалению, стали не редкими случаи атак на информационные системы организаций с помощью вирусов-вымогателей (Ransomware).
Ransomware — это злонамеренное ПО, которое шифрует все файлы, к которым сможет получить доступ с целью получения выкупа за расшифровку информации.
Иногда никакого ключа нет так как конкретный вирус-шифровальщик оказывается чьей-то неудачной шуткой, не направленной на незаконное обогащение создателя, либо после оплаты расшифрование не происходит.
Действия вируса-вымогателя может нанести серьезный урон организации вплоть до полной остановки ее деятельности.
Существует множество потенциальных путей проникновения шифровальщика в информационную систему:
Поэтому тестирование на проникновение с целью выявления потенциальных путей внедрения вирусов-шифровальщиков должно носить комплексный характер.
Данная услуга будет полезна организациям, которые хотят:
В ходе тестирования на проникновение проводится:
Результатом проведения работ является отчет, содержащий описание проведенных проверок, а также перечень выявленных недостатков с рекомендациями по их устранению.
С учетом изложенных выше нюансов, компания RTM Group предлагает наиболее сбалансированный и экономный подход к проведению пентестов – позволяющий не только выявить уязвимости, но и повысить уровень защиты. Мы предлагаем различные виды теста на проникновение, включая внутренний и внешний пентест, социальную инженерию, RED Team.
Мы обладаем лицензиями:
Для уточнения стоимости и сроков звоните или пишите нам:
Тел: 8 800 201-20-70 (Звонок по России бесплатный)
email: info@rtmtech.ru
Обратите внимание!
Компания работает с юридическими лицами, ИП и бюджетными организациями по безналичному расчету.
Работа с физическими лицами временно не осуществляется.
| Наименование услуги | Стоимость |
|---|---|
|
Консультация |
Бесплатно |
|
Тестирование на проникновение (пентест) и анализ уязвимостей Срок — от 2 недель |
от 150 000 руб. |
|
Работаем с юридическими лицами, ИП и бюджетными организациями по безналичному расчету. |
|
Включает ли пентест сайта анализ php-кода?
Андрей
Здравствуйте.
В зависимости от условий договора и, как следствие, формата пентеста, возможны варианты как с анализом, так и без. Также опционально возможна проверка защищенности WEB-сервера, на котором расположен сайт и социальная инженерия административных учетных записей.
Музалевский Федор Александрович
Подскажите, как влияет объем закладываемых в пентест узлов исследуемой инфраструктуры на качество пентеста. Пример, у компании есть центральный аппарат и филиалы. Все они в единой сети и домене. Если выбрать 2-а филиала на тестирование и не тестировать центральный аппарат, какие риски возникнут в этой ситуации
Андрей
Тестирование части сети не имеет смысла, так как уязвимости, которые могут присутствовать в сегментах, не подверженных тестированию, могут привести к компрометации всей сети. Источниками угроз также может быть некорректная настройка сетевого оборудования между центром и филиалами.
Поэтому если все узлы находятся в единой сети и домене, то и тестироваться они должны как единая сеть и домен.
Перминов Геннадий Вадимович
Как проводят пентест? Какая методика проведения? Проводят внутреннее или внешнее сканирование?
Андрей
Пентест надо делать как следует. Это не просто требование ЦБ, а реальный инструмент, который позволяет повысить уровень информационной безопасности. Для тех, кто хочет сэкономить, скажу так: ЦБ не регламентирует формат проведения пентеста. Официального документа нет, методики или даже разъяснений по этому поводу тоже нет. То, что говорится кулуарно, может говориться бесконечно долго, но на сегодняшний день методики нет.
Мы рекомендуем внешнее тестирование и внутреннее хотя бы с дистанционным подключением эксперта. Но хотелось сказать, что сканирование и тестирование — это немножко разные вещи. Сканирование банк должен выполнять самостоятельно, причём на постоянной основе, а не один раз в год. Про это есть целая группа мер в ГОСТ 57580. Тестирование предполагает помимо сканирования ещё и анализ этих самых уязвимостей, по согласованию с банком их эксплуатации и иные действия, чтобы попасть в инфраструктуру банка дальше и получить доступ к конфиденциальной информации.
Если коротко, методики нет, поэтому каждый делает, как хочет. И если методика когда-нибудь появится, то тогда появятся какие-то рамки, в которых мы будем работать, а пока ничего не понятно.
Царев Евгений Олегович
Как связаны между собой эти процедуры: пентест, анализ уязвимостей информационной безопасности объектов ИИ, анализ уязвимостей ПО?
Михаил
Пентест включает в себя анализ уязвимостей инфраструктуры — серверов, сетей, сайтов. В ходе пентеста производится не только выявление уязвимостей, но и их эксплуатация (разумеется, по согласованию с заказчиком). Помимо этого, в ходе пентеста могут проводиться сопутствующие работы, такие как социальная инженерия или анализ физической защищенности контролируемой зоны Заказчика.
Исследование ПО на уязвимости по уровню ОУД4 — это отдельное требование 382-П и 683-П/684-П. Оно включает в себя анализ документации на программное обеспечение с расчетом потенциала злоумышленника, способного взломать приложение, и пентест самого приложения. То есть отличается от пентеста или анализа уязвимостей инфраструктуры составом работ и областью тестирования.
Музалевский Федор Александрович
Банком приобретается новое мобильное приложение, когда надо проводить пентест?
Ольга
Пентест надо проводить (согласно 382-П, 683-П) ежегодно. Если мы смотрим ГОСТ 57580 там есть отдельные пункты жизненного цикла, и пентест также требуется проводить ежегодно либо при смене инфраструктуры. Но если Вами приобретается новое мобильное приложение, то оно должно пройти (на данный момент) анализ уязвимостей по ОУД4, это не пентест, но другое требование. С точки зрения Банка России, анализ уязвимостей должен быть проведен до того, как Вы запускаете приложение в эксплуатацию.
Музалевский Федор Александрович
Здравствуйте. Я студент, учусь на специалиста по информационной безопасности, пишу курсовую на тему: «Особенности внедрения подсистем предотвращения утечек КИ в систему комплексной безоп на пп.»
Как основную систему предотвращения утечек рассматриваю систему DLP и был бы очень благодарен, если Вы поможете с основными (общими) этапами проведения пентеста.
Студент
Добрый день.
DLP, как класс систем, является даже не основным, а, скорее, единственным. Просто многие продукты, позиционируемые иначе, содержат функционал DLP (например, тот же KES с возможностью блокировки флешек).
На Вашем месте я бы сделал упор не на пентест, а на возможности интеграции DLP с другими системами безопасности — в первую очередь SIEM и AD — так как комплексная система содержится в названии работы.
Отвечая на Ваш вопрос можно выделить (не всегда этапы таковы, но в среднем похоже):
- инвентаризация области тестирования — сбор сведений об узлах сети, информационных системах, сетевом трафике, учетных данных и прочее — зачастую конфиденциальная информация находится уже на этом этапе в открытом доступе;
- поиск уязвимостей — по общедоступным базам либо закрытым базам тестировщиков;
- проверка прочности аутентификации (брутфорс);
- попытка повышения прав доступа;
- доступ к конфиденциальной информации.
Музалевский Федор Александрович
