Пентест

ETHIC.CPT (Continuous Penetration Testing) переосмысливает традиционные подходы к анализу защищенности инфраструктуры. Сервис в составе платформы и опытной команды пентестеров Infosecurity обеспечивает мониторинг периметра 24/7. По сравнению с классическим пентестом, сервис обеспечивает всесторонний контроль безопасности за счет непрерывного мониторинга периметра и своевременного выявления уязвимостей.

Платформа объединяет в себе несколько популярных сканеров, направленных на постоянный мониторинг состояния внешнего периметра и веб-приложений. Все данные автоматически агрегируются в системе, с которыми работает команда Infosecurity. Сервис ETHIC.CPT полностью исключает ложные срабатывания за счет верификации каждого события вручную командой пентестеров.

Дашборд платформы ETHIC.CPT оснащен всей необходимой информацией об уязвимостях в понятном и доступном формате, включая сводную информацию:

• о состоянии защищенности периметра;
• топ критических уязвимостей;
• полное описание по каждой уязвимости;
• рекомендации по устранению уязвимостей.

Это позволяет эффективно отслеживать статусы обработки уязвимостей и динамику безопасности их периметра.

Наш подход объединяет глубокий анализ исходного кода с целью выявления уязвимостей и тестирование безопасности в контролируемой среде. Анализ подразумевает сканирование предоставленного исходного кода, разбор и оценку возможности эксплуатации обнаруженных проблем безопасности путем ручного разбора кода и моделирования действий потенциальных злоумышленников и оценки возможности использования выявленных уязвимостей и недостатков для осуществления несанкционированного доступа к конфиденциальной информации или для нарушения работы обрабатывающих такую информацию информационных систем.

Состав работ:

• Получение предварительной информации и доступа к исходному коду тестируемого проекта
• Проведение статического анализ кода с применением инструментов для обнаружения потенциальных ошибок и уязвимостей
• Проведение анализа безопасности с целью ручного поиска веб-уязвимостей таких как SQL-инъекции, межсайтового скриптинга и т.д.
• Проверка корректности обработки входных данных. Оценка соблюдения принципов безопасной разработки
• Проведение анализа производительности для оценки эффективности алгоритмов и структур данных
• Проведение анализа структуры кода для проверки организации кода и соответствия его архитектурным принципам
• Проведение анализа безопасности используемых библиотек и плагинов в исходном коде
• Подготовка отчета по результатам тестирования

Тестирование на проникновение внешнего периметра направлено на поиск путей проникновения внешнего нарушителя во внутреннюю сеть с использованием уязвимостей и ошибок конфигурации устройств, доступных из сети Интернет, сетевых служб и приложений.

Используемые методы:

• OSINT (Open-Source Intelligence) исследование — получение предварительной информации о сетевом периметре на основе источников информации, доступных потенциальному нарушителю (поисковые системы, новости, конференции и т.п.). Сканирование хостов сетевого периметра, определение типов устройств, операционных систем и приложений.
• Проведение сканирования на наличие уязвимостей.
• Анализ защищенности сервисов сетевой инфраструктуры и электронной почты.
• Анализ защищенности систем совместной работы SharePoint, OWA, Confluence и других.
• Проведение брутфорс-атак.
• Идентификация уязвимостей сетевых служб и приложений.
• Эксплуатация наиболее критичных уязвимостей с целью преодоления сетевого периметра.
• Анализ возможностей развития атаки во внутреннюю сеть.

Объекты тестирования:

• Операционные системы
• Средства защиты информации
• Сетевые сервисы и службы

Средняя продолжительность: 18-25 дней

Тестирование на проникновение внутреннего периметра направлено на анализ защищенности внутреннего контура от атак со стороны нарушителя, имеющего доступ к локальной сети организации. Работы данного этапа могут осуществляться как локально, так и удаленно, с помощью защищенного подключения по технологии VPN.

Используемые методы:

• Пассивный сбор информации о подсети.
• Перехват и анализ сетевого трафика.
• Проведение сетевых атак.
• Сканирование узлов, доступных из пользовательского сегмента ЛВС, сбор информации об открытых портах, определение типов устройств, анализ сетевой сегментации.
• Проведение сканирования на наличие уязвимостей (если это возможно по условию внутреннего тестирования).
• Эксплуатация уязвимостей.
• Восстановление паролей и хеш-суммы паролей из оперативной памяти и реестра.
• Восстановление хеш-суммы паролей по словарю.
• Анализ Active Directory.
• Боковое перемещение (Lateral Movement) и повышение привилегий.
• Проверка возможности получения доступа к конфиденциальной информации и (или) информации ограниченного доступа.
• Производится проверка прав доступа к различным информационным ресурсам с привилегиями, полученными на различных этапах тестирования.

Объекты тестирования:

• СУБД
• Рабочие станции
• Серверы (FTP, почтовый, SQL и др.)
• Сетевые службы и сервисы
• Сетевое оборудование
• Средства защиты информации

Средняя продолжительность: 25-30 дней

Тестирование на проникновение сайта и веб-приложений направлено на поиск уязвимостей, в результате эксплуатации которых атакующий может получить доступ к хранимой и обрабатываемой информации или нарушить нормальную работу сайта или веб-приложения.

Используемые методы:

• Получение предварительной информации о веб-ресурсе на основе источников информации, доступных потенциальному нарушителю.
• Анализ веб-приложения от имени аутентифицированного и анонимного пользователя.
• Автоматизированное сканирование на наличие веб-уязвимостей с использованием зарекомендовавших себя инструментальных средств.
• Ручная верификация и анализ результатов инструментального сканирования, проверка соответствия конфигурации веб-приложения рекомендациям по безопасной настройке программного обеспечения (CMS, фреймворков, веб-сервера, сервера приложений и т.п.).

Ручная проверка проходит по методологии OWASP Top 10, но не ограничивается ею. Проверка включает в себя следующие категории:

• Ошибки контроля доступа
• Криптографические сбои
• Инъекции
• Неправильные конфигурации
• Уязвимые и устаревшие компоненты
• Ошибки идентификации и аутентификации
• Ошибки целостности программного обеспечения и данных
• Регистрация безопасности и мониторинг сбоев
• Подделка запросов на стороне сервера
• Прочие атаки, целью которых является выполнение кода на стороне сервера
• Подбор паролей пользователей веб-приложения

Объекты тестирования:

• Операционные системы
• Системы управления сайтами (CMS)

Средняя продолжительность: 18-25 дней

Тестирование на проникновение мобильных приложений направлено на обнаружение уязвимостей, которые могут быть использованы злоумышленником для получения доступа к хранимой и обрабатываемой в приложении информации или нарушения его нормальной работы.

Методы, используемые при тестировании на проникновение мобильных приложений, включают получение предварительной информации о приложении, анализ его от имени авторизованного и неавторизованного пользователя, а также автоматизированное сканирование на наличие уязвимостей при помощи специальных инструментальных средств.

Ручная проверка проводится в соответствии с методологией OWASP Mobile Top 10 и включает проверку следующих категорий уязвимостей:
· Ошибки аутентификации и авторизации
· Недостаточная защита хранилища данных
· Недостаточная защита передачи данных
· Недостаточная защита сессий и временных файлов
· Небезопасная логика приложения
· Ошибки на стороне сервера
· Небезопасная конфигурация
· Недостаточная защита от социальной инженерии
· Небезопасная использование компонентов

Тестирование на проникновение мобильных приложений необходимо для обеспечения безопасности хранящейся в них информации и защиты бренда компании от негативных последствий возможных атак.

Тестирование на проникновение Wi-Fi сетей проводится на территории организации и направлено на выявление недостатков в использовании точек доступа и клиентских устройств, недостатков в архитектуре и организации беспроводного доступа.

Используемые методы:

• Сканирование диапазона Wi-Fi-сетей и получение информации о точках доступа.
• Проведение атак на сети Wi-Fi (WPS, PMKID, WPA, WPA2).
• Выявление недостатков в организации беспроводных сетей и недостатков конфигурации точек доступа, позволяющих проводить атаки на сетевое оборудование, сети и клиентов сетей.
• Проведение атак на WPA2 Enterprise.

Объекты тестирования:

• Беспроводные сети компании
• Аппаратное обеспечение сетей Wi-Fi

Средняя продолжительность: 15-20 дней

Социотехническое тестирование на проникновение позволяет оценить уровень осведомленности сотрудников организации в вопросах информационной безопасности, а также их готовность распознать фишинговые рассылки и мошеннические звонки.

Используемые методы:

• Поиск в сети интернет сведений, часто используемых при атаках (утечки данных, несанкционированное использование учетных записей и т.д.).
• Почтовые рассылки с имитацией вредоносного вложения.
• Почтовые рассылки с имитацией вредоносной ссылки.
• Почтовые рассылки с имитацией вредоносного офисного документа.
• Целевое общение с сотрудниками по телефону (корпоративному) с целью получения конфиденциальной информации.

Объекты тестирования:

• Персонал компании, в том числе сотрудники служб ИТ и ИБ
• Средства зашиты от фишинговых атак и эксплуатации уязвимостей нулевого дня
• Рабочие станции

Средняя продолжительность: 15-25 дней

Анализ защищённости предназначен для поиска всех возможных уязвимостей в IT-инфраструктуре. При базовом анализе защищенности исследование прекращается после обнаружения недостатка, то есть услуги не включают в себя выполнение атаки с эксплуатацией найденной уязвимости, как при тестировании на проникновение.

Infosecurity проводит как комплексный анализ защищенности, включающий в себя тестирование на проникновение, так и отдельно пентест в зависимости от потребностей организации.

Черный ящик (black box)
При тестировании методом «черного ящика» у специалистов нет информации о системе, они моделируют поведение злоумышленников, то есть неосведомленных людей. Этот подход наиболее близок к реальной атаке и требует высокой степени технических навыков. Пентестеру не предоставляются какие-либо схемы архитектуры или исходный код, т. е. сведения не являющиеся общедоступными.

Тест на проникновение методом «черного ящика» определяет уязвимости в системе, которые можно использовать вне сети. Тестирование основано на динамическом анализе работающих в данный момент программ и систем в сети. Специалист по тестированию использует инструменты автоматического сканирования и методологии ручного тестирования на проникновение. Также специалисты создают собственную карту сети на основе своих наблюдений. Основной недостаток метода — если специалисты не могут взломать периметр, любые уязвимости внутренних сервисов остаются не обнаруженными и не исправленными.

Серый ящик (grey box)
При тестировании методом «серого ящика» пентестер имеет ограниченное представление об уровне безопасности компании. Специалисту доступна информация о внутреннем устройстве сети, включая документацию, а также имеется непривилегированная внутренняя учетная запись к сети. Цель пентеста методом «серого ящика» — обеспечить более целенаправленную и эффективную оценку безопасности сети, чем оценка «черного ящика». Используя проектную документацию сети, пентестеры могут сосредоточить свои усилия на системах с наибольшим риском и ценностью с самого начала, а не тратить время на самостоятельное определение этой информации. Внутренняя учетная запись в системе также позволяет тестировать безопасность внутри усиленного периметра и имитирует злоумышленника с долгосрочным доступом к сети.

Белый ящик (white box)
При тестировании методом «белого ящика» внутренняя структура, устройство и реализация системы известны специалистам по пентесту. Тестирование методом «белого ящика» включает в себя анализ потока данных, потока управления, потока информации, методов кодирования. А также обработки ошибок в системе для проверки предполагаемого и непреднамеренного поведения ПО. Иными словами, метод заключается в том, что пентестер обладает правами доступа администратора и имеет полное представление об IT-инфраструктуре компании.

Тестирование методом «белого ящика» может быть выполнено:

• Для проверки того, соответствует ли реализация кода предполагаемому замыслу
• Для проверки реализованных функций безопасности
• Для выявления уязвимостей, которые можно использовать

Пентест должен проводиться с такой же частотой, с какой обновляется целевое приложение. Если речь идёт о тестировании системы безопасности, такой анализ достаточно проводить 2–3 раза в год. Банки и НКО обязаны проводить пентест ежегодно, согласно положению 683-П ЦБ РФ.

Тестирование на проникновение позволяет:

• Соблюсти выполнение требований стандартов и нормативных документов. Например, положение 719-П ЦБ РФ, ГОСТ Р 57580.1-2017, требование пункта 11.3 стандарта PCI DSS и пр.
• Предупредить инциденты информационной безопасности
• Оценить эффективность используемых средств защиты информации
• Выявить и устранить уязвимости в защите информационных систем
• Оценить эффективность бизнес-процессов и менеджмента информационной безопасности
• Получить обоснование финансовых затрат на изменения в системе информационной безопасности
• Составить план реагирования на атаки, позволяющий снизить возможность их реализации

Банки и другие финансовые организации обязаны проводить пентест, исходя из Положения 683-П ЦБ РФ и ГОСТ 57580. Они обязывают банки проводить тестирование на проникновение для оценки уровня защиты информационных систем.

Объекты критической информационной инфраструктуры (КИИ) также обязаны проводить тестирование на проникновение, согласно Приказу ФСТЭК № 239.

Пентест проводится не только для соответствия требованиям законодательства и регуляторов. Тестирование на проникновение помогает частным и государственным компаниям объективно оценить уровень защищенности своей инфраструктуры и надежность систем защиты. Вовремя не выявленные уязвимости могут причинить серьезный финансовый и репутационный ущерб.