Пентест (Pentest) наиболее эффективный инструмент анализа защищенности информационных систем и сетевых ресурсов компании. Тенденция развития современного общества такова, что мировая экономика неминуемо переходит в цифровую плоскость. И пока компании перестраивают и автоматизируют бизнес-процессы, а информационные ресурсы начинают активно интегрироваться с сетью Интернет, злоумышленники также перемещают свой фокус на киберпространство. Теперь для кражи “кошелька”, ограбления банка или начала войны, хакерам нет необходимости выходить из дома. При этом одна масштабная вредоносная кампания способна нанести ущерб, сопоставимый с доходами небольшого государства. Сегодня государственные организации и частный бизнес уделяют большое внимание реальной защите данных и минимизации возможного ущерба от инцидентов информационной безопасности. Самый эффективный способ провести анализ защищенности сетевых ресурсов компании – провести тестирование на проникновение или пентест. Пентест (Pentest или Penetration test – тест на проникновение) – процедура анализа защищенности информационных систем путем поиска в них уязвимостей и их эксплуатации. В процессе пентеста анализируются различные внутренние и внешние информационные системы. Пентест проводится, когда необходимо: - выявить «слабые» места инфраструктуры (оценить, что может предпринять хакер для проникновения в Вашу систему); - оценить эффективность системы безопасности и получить рекомендации по устранению уязвимостей (быстрое повышение реального уровня защиты); - проверить качество работы исполнителей по направлению ИБ. Ключевое преимущество пентеста Многие останавливаются на этапе «бумажной безопасности», когда формируются все необходимые документы по информационной безопасности, не подозревая о фактически существующих проблемах в безопасности предприятия и о тех последствиях, которые возникнут при использовании их злоумышленниками. Проведение пентеста показывает реальное состояние защищенности, которое, к сожалению, в 99% случаев отличается от описанного в документах. Вот почему мы рекомендуем не ограничиваться проведением мероприятий по информационной безопасности, требуемых по законодательству, а обязательно проверить систему в «боевом режиме», заказав проведение пентеста. Как мы работаем? 1. Совместно определим задачи с точки зрения злоумышленника (получение административных прав в домене, получение доступа к базе данных, вмешательство в технологический процесс, установка вредоносных программ, остановка работы определенных сервисов и т.д.). 2. Согласуем детали работ, в т.ч. границы оказания услуги. 3. Проверим возможные способы, которыми злоумышленник может достичь цели. Анализ защищенности проводится с использованием следующих методов: - «Черный ящик» У злоумышленника нет санкционированного доступа, нет данных о конфигурации сети и средствах защиты информации. Имитируются действия хакера. - «Серый ящик». Имеется санкционированный доступ в систему и ограниченные знания об организации, ее корпоративной сети и средствах защиты информации. Имитируются действия «инсайдера», т.е., локального пользователя, имеющего ограниченные привилегии в отдельно взятых системах. Безопасность проведения Пентест – очень деликатная услуга. Поэтому перед началом работ мы предварительно заключаем «Соглашение о конфиденциальности», направляем опросный лист для оценки стоимости услуги. Далее детально обговариваем границы проведения работ, чтобы при проведении пентеста не оказать влияния на ход бизнес-процессов, информационные ресурсы и инфраструктуру. Поэтому пентест возможно проводить даже на работающей системе. Наши специалисты никогда не эксплуатируют найденные уязвимости без согласования с Заказчиком. При проведении работ на территории заказчика, Ваш представитель обеспечивает постоянное сопровождение нашего специалиста. При постановке задач, связанных с доступом к данным, охраняемым Федеральным законодательством наши специалисты остановятся за шаг до цели. Последнее действие будет производиться Вашим специалистом, уполномоченным на соответствующие действия. Целенаправленная работа с базами, содержащими данные, защищаемые Федеральным законодательством, не производится. В ходе выполнения по анализу защищенности мы осуществляем протоколирование проводимой работы, при необходимости, используем АРМ Заказчика.