Облачные решения и сервисы безопасности
Системная интеграция
Управляемые услуги
Обучение
РазработкаПентест – тестирование на проникновение
Пентест (от англ. penetration test)
Метод выявления уязвимостей информационных систем организации, путем моделирования атаки киберпреступников. При пентесте используются те же инструменты и способы, которые применяют профессиональные хакеры. Это позволяет объективно оценить уровень защиты компании от целенаправленных атак. В идеальных системах пентест должен проводиться при каждом обновлении программного или аппаратного обеспечения, приложений. В целом, для организаций рекомендуется проводить тестирование на проникновение не реже 1 раза в год.
Каким компаниям нужен пентест?
Любая компания, которая хранит в своем контуре персональные даннные и информацию, которая относится к коммерческой или государственной тайне, нуждается в регулярном проведении пентеста. Потому что он позволяет выявить возможные направления атак преступников. В первую очередь к таким компаниям относятся:
- Финансовые структуры (банки, страховые и лизинговые компании)
- Государственные организации (учреждения образования и здравоохранения, оборонные ведомства)
- Компании с критической инфраструктурой (организации, чья деятельность влияет на жизнь общества)
- Ретейл (так как хранит большие базы персональных данных о покупателях)
- Иные организации
Виды пентеста
Анализ внешнего периметра
Эксплуатация известных и обнаруженных уязвимостей и ошибок, доступ к которым можно получить через интернет или веб-приложения, для организации проникновения в компанию.
Какие методы используются:
- Open-Source Intelligence – поиск информации из открытых источников.
- Сканирование внешних хостов.
- Сканирования на уязвимости.
- Анализ защиты электронной почты организации.
- Тестирование сервисов совместной работы.
Продолжительность - до 1 месяца
Анализ внутреннего периметра
Анализ защищенности при атаках со стороны сотрудников компании или внешних подрядчиков. Проводится на базе клиента и удаленно.
Какие методы используются:
- Open-Source Intelligence – поиск информации из открытых источников.
- Cканированиt внешних хостов.
- Сканирования на уязвимости.
- Анализ защиты электронной почты организации.
- Тестирование сервисов совместной работы.
Тестирование сайта и веб-приложений
Анализ уязвимостей, которые могут быть использованы для проникновения, атаки на сайт или веб-приложение.
Какие методы используются:
- Поиск информации в открытых источниках, а также в дарквеб, закрытых телеграм-каналах и пр.
- Анализ веб-приложений от имени авторизованного/анонимного пользователя.
- Сканирование веб-уязвимостей с помощью автоматизированных средств проверки.
- Определение и эксплуатация ошибок контроля доступа.
- Эксплуатация криптографических сбоев.
- Поиск и анализ ошибок идентификации и аутентификации, нарушений целостности ПО
- Различные атаки с целью выполнения кода на стороне сервера.
- Перебор паролей пользователей в веб-приложении и для доступа к админке сайта.
- Инъекции
Социальная инженерия
Анализ на возможность проникновения с использованием социальной инженерии и фишинга.
Какие методы используются:
- Open-Source Intelligence – поиск информации из открытых источников.
- Фишинговые рассылки с имитацией вредоносных вложений
Продолжительность - до 1 месяца
Этапы проведения пентеста
Этапы и концепция пентеста детально согласовываются на этапе подготовки вместе со специалистами заказчика. Здесь указана общая схема.
1. Подготовка
2. Поиск уязвимостей
3. Атака
4. Анализ
5. Передача информации
Центр кибербезопасности
Команда
Опыт
Результат
Комплексность
Аттестация
Тестирование методом белого, серого и черного ящика
Пентест классифицируется по степени осведомлённости специалиста о внутренней архитектуре и инфраструктуре целевой системы.
Доступы предоставляет заказчик на этапе старта пентеста.
Доступы предоставляются заказчиком, либо наши специалисты самостоятельно пытаются прооести разведку.
Самый распространенный тип пентеста.
Отдельно можно выделить метод Социальной инженерии, при которой все доступы и информацию о системе пентестеры пытаются получить, используя сотрудников компании — через фишинг, вишинг и другие методы.
Тестирование на проникновение проводят профессиональные пентестеры, которые работают в нашем Центре кибербезопасности. Они прошли специализированное обучение и используют различные методы тестирования.
Да. Перед заключением договора мы отправим вам анкету, в которой вы сможете обозначить, что конкретно вы хотите тестировать. Все методы, которые мы будем использовать, будут прописаны в техническом задании.
Получить бесплатную консультацию
Блог компании
Все новости
