Тестирование на проникновение — моделирование действий потенциального нарушителя для оценки реального уровня защищенности инфраструктуры. Проводится в отношении внешнего и внутреннего периметров, веб-приложений и сотрудников компании с подготовкой отчета и рекомендаций по итогам работ.
СОСТАВ УСЛУГИ И ПОСЛЕДОВАТЕЛЬНОСТЬ РАБОТ
Услуга включает полный цикл анализа защищенности и состоит из следующих этапов:
Этап 1: Подготовка и согласование области работ
- Определение перечня исследуемых ресурсов и методов тестирования (white box, grey box, black box).
- Согласование действий нарушителя и подписание необходимых соглашений о конфиденциальности.
Этап 2: Сбор информации и выявление уязвимостей
- Пассивный и активный сбор данных о компании и инфраструктуре.
- Автоматизированное сканирование целевых систем и ручная верификация результатов.
- Анализ защищенности веб-приложений (OWASP) и конфигураций сетевого оборудования.
Этап 3: Эксплуатация уязвимостей и оценка ущерба
- Контролируемая эксплуатация выявленных уязвимостей с попыткой повышения привилегий и расширения зоны доступа в ЛВС.
- Демонстрация потенциального ущерба от успешной атаки на критически важные системы и данные.
Этап 4: Подготовка отчетности и выработка рекомендаций
- Формирование технического отчета с перечнем уязвимостей, оценкой критичности (CVSS) и описанием векторов атак.
- Предоставление практических рекомендаций по устранению уязвимостей и краткого аналитического отчета для руководства.
ДЛЯ ЧЕГО
- Оценка реального уровня защищенности инфраструктуры и эффективности существующих мер защиты
- Выполнение требований регуляторов в части анализа уязвимостей и оценки защищенности объектов КИИ
- Проверка корректности конфигурации средств защиты информации
ДЛЯ КОГО
- Органы государственной власти и подведомственные учреждения
- Субъекты КИИ
- Крупный бизнес с распределенной филиальной сетью
- Средний и малый бизнес