ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ ПО ПЕНТЕСТУ

Пентест (тестирование на проникновение) представляет собой контролируемую имитацию хакерской атаки на информационные системы, сети и веб-приложения с целью выявления уязвимостей, которые могут быть использованы злоумышленниками для несанкционированного доступа или нанесения ущерба компании. Основная цель тестирования выявить проблемные места в системе безопасности, определить возможные векторы хакерской атаки, оценить тип и вероятный ущерб, который будет нанесен в случае реальной попытки проникновения злоумышленников в ИТ-инфраструктуру компании, используя уязвимости.

Проведение тестирования на проникновение и анализа защищенности — важнейший инструмент, используемый компаниями в рамках стратегии управления рисками кибербезопасности. Он помогает организациям выявлять и устранять уязвимости, которые с наибольшей вероятностью могут быть использованы для нарушения их кибербезопасности, а также предлагает контрмеры для смягчения наиболее важных рисков, связанных с инцидентами кибербезопасности. Регулярное тестирование поможет убедиться, что ваши меры безопасности актуальны и эффективны против новейших методов взлома и киберугроз.

Проведение тестирования на проникновение является проактивной мерой, которая позволяет компаниям улучшать свою кибербезопасность и минимизировать риски, связанные с возможными кибератаками. Проведение тестирования на проникновение компании позволит:

• - Обнаружить и устранить уязвимости
• - Обеспечить экономию средств
• - Предотвратить потенциальные атаки
• - Оценить эффективность мер безопасности
• - Укрепить доверие клиентов и партнеров
• - Обеспечить соответствие нормативным требованиям
• - Обучить команду
• - Получить рекомендации

Процесс разделен на различные этапы, включая этапы разведки, сканирования, выявления уязвимостей, эксплуатации и постэксплуатации для определения их полного воздействия. После тестирования предоставляются подробные отчеты, которые помогут вам понять и устранить обнаруженные проблемы. Во время тестирования наши эксперты используют сочетание ручных и автоматизированных методов для моделирования атак, которые могут быть использованы хакерами в реальных сценариях в соответствии с новейшими отраслевыми стандартами.

Всем предприятиям рекомендуется проводить тестирование на проникновение не реже одного раза в год, а также после любых существенных обновлений или модификаций информационной инфраструктуры компании. Учитывая высокую скорость обнаружения новых уязвимостей и эксплойтов, мы обычно рекомендуем проводить тестирование раз в полгода.

Стоимость проведения тестирования на проникновение или анализа защищенности может существенно варьироваться в зависимости от вида исследования и объема оценки. По этой причине не существует установленного ценового диапазона для данного вида оценки. Каждый проект адаптирован к вашим целям и вашей информационной инфраструктуре. Прежде чем определить стоимость, необходимо определить множество факторов.

Время, необходимое для успешного выполнения тестирования на проникновение, зависит от объема и типа исследуемой инфраструктуры. Большинство исследований можно выполнить в течение двух недель, но иногда некоторые проекты могут длиться даже несколько месяцев, в зависимости от сложности проекта.

Сканирование уязвимостей и тестирование на проникновение — наиболее распространенные методы выявления и устранения недостатков кибербезопасности. Хотя между ними существует некоторое сходство, их часто ошибочно интерпретируют как одно и то же, хотя они дают очень разную степень анализа. Сканеры уязвимостей обычно используются ИТ-персоналом для проверки сетевой инфраструктуры на наличие известных уязвимостей, которые могли появиться во время их внедрения. Тестирование на проникновение, напротив, выявляет как хорошо задокументированные уязвимости, так и те, которые никогда раньше не наблюдались, предоставляя при этом доказательства их потенциального воздействия на вашу компанию.

Как и в предыдущем пункте, автоматизированные тесты (известные как сканеры уязвимостей) позволяют ИТ-командам выявлять потенциальные неправильные конфигурации и известные уязвимости в версиях их программного обеспечения, операционных систем и технологий. Хотя автоматизированные тесты экономически эффективны и требуют меньше знаний, они не обеспечивают такого же уровня анализа и не могут выявить сложные уязвимости (например, логические ошибки в приложениях или уязвимости в специально созданных средах). Автоматизированные тесты также могут нанести вред вашим системам и загрязнить ваши базы данных, поэтому их использование должно быть ограничено, дополняя ручное исследование и должно выполняться опытными специалистами, чтобы ограничить их негативное воздействие. Ручное тестирование, напротив, требует гораздо большего опыта и глубокого понимания различных технологических контекстов. Оно позволяет вашей организации выявить уязвимости и предоставить доказательства их потенциального воздействия на вашу компанию. С помощью ручного тестирования можно выявить даже самые незаметные уязвимости, которые потенциально могут иметь критическое воздействие, причиняя минимально возможный вред вашим системам, но которые не могут быть обнаружены с помощью автоматизированного анализа.

Существует множество признанных методологий и стандартов тестирования на проникновение, которые можно использовать в зависимости от типа оценки. Вот некоторые из наиболее признанных методологий:
- OSSTMM — предоставляет научную методологию тестирования на проникновение в сеть и оценки уязвимостей для выявления уязвимостей с различных потенциальных векторов атаки.
- OWASP – направлен на выявление уязвимостей в веб и мобильных приложениях. Предоставляет более 66 элементов управления для общей оценки и выявления потенциальных уязвимостей в функциях, имеющихся сегодня в современных приложениях.
- PTES – выделяет наиболее рекомендуемый подход к структурированию тестирования на проникновение. Этот стандарт помогает экспертам выполнять различные этапы тестирования на проникновение, включая первоначальную разведку, сбор информации, а также этапы моделирования угроз.

В ходе проекта предпринимаются различные шаги, чтобы предотвратить потенциальное влияние наших исследований на стабильность вашей технологической среды и непрерывность ваших бизнес-операций и процессов. По этой причине в начале проекта разрабатывается план коммуникации для предотвращения и смягчения любого потенциального воздействия. В тестируемой организации назначается представитель, который будет выступать в качестве основного контактного лица для обеспечения быстрой связи в случае возникновения ситуации, непосредственно влияющей на выполнение вашей повседневной деятельности, или в случае выявления каких-либо критических уязвимостей, для которых необходимо принять срочные корректирующие меры.

Мы используем простой четырехуровневый подход к оценке рисков (критический, высокий, средний, низкий), наша оценка рисков фактически основана на стандарте Common Vulnerability Scoring System (CVSS). При оценке уровня риска каждой уязвимости учитываются два основных критерия:
- Потенциальное воздействие: потенциальное воздействие атаки, основанной на уязвимости, в сочетании с ее потенциальным влиянием на доступность системы, а также конфиденциальность и целостность данных.
- Эксплуатация: потенциальная возможность использования уязвимости; уязвимость, которую легче использовать, увеличивает количество потенциальных злоумышленников и, следовательно, вероятность атаки. При оценке потенциала использования уязвимости учитываются различные факторы (например, вектор доступа, аутентификация, сложность эксплуатации и т. д.).

Большинство наших проектов выполняются удаленно. Современные технологии позволяют нашей команде безопасно получать доступ к любой инфраструктуре/системам. Мы предоставляем различные варианты удаленного доступа в зависимости от вашего конкретного контекста. В некоторых случаях некоторые специализированные типы тестов на проникновение, такие как SCADA/ICS/промышленные тесты на проникновение , могут потребовать проведение исследования на месте, поскольку эти системы могут быть недоступны извне.

Внутренний пентест проводится из сети организации экспертом, имеющим доступ к внутренней сети. Внешний пентест проводится извне сети организации и имитирует атаку на общедоступные системы доступные из вне. Основное отличие заключается в точке происхождения исследования: внутреннее тестирование больше сосредоточено на мерах безопасности внутренней сети, тогда как внешнее тестирование сосредоточено на выявлении уязвимостей в системах, доступных из Интернета.

По окончании проекта вам будет предоставлен подробный отчет, который позволит вам четко понять свои слабые места и принять необходимые меры для устранения проблем безопасности, чтобы сохранить конфиденциальность, целостность и доступность ваших критически важных ресурсов и обеспечить надежную защиту своих ИТ-активов. Что вы получите после реализации проекта:
- Профессиональный технический отчет. Включает детальную характеристику всех проведенных нами тестов, обнаруженных уязвимостях рассортированых по уровню риска (оценка по методике Common Vulnerability Scoring System) с доказательствами обнаружения, подробными техническими выводами, оценкой вероятности использования уязвимости злоумышленниками, наиболее вероятными сценариями проведения атаки, степенью ущерба для бизнес-процессов компании и рекомендациями по работе над приорететным устранением выявленных уязвимостей, организационных мерах и повышения осведомлённости вашей технической команды.
- Заключение для руководителя. Содержит информацию к чему может привести эксплуатация обнаруженных уязвимостей в части их влияния на бизнес, краткое описание и экспертную оценку уровня защищенности и эффективности внедренных средств защиты изложенный понятным, нетехническим языком, предназначенное для понимания управления.
- Рекомендации по устранению уязвимостей. Пошаговое руководство по работе над приоритетным устранением выявленных уязвимостей и организационных мерах для повышения осведомлённости вашей технической команды.

Проведение тестирования на проникновение у независимого поставщика является одним из основных требований, предъявляемых третьими сторонами для обеспечения соответствия безопасности. Наши услуги предоставят доказательства в виде технического отчета и официального подтверждения того, что вы провели профессиональное тестирование на проникновение у независимого поставщика.

Мы можем повторно протестировать выявленные уязвимости, чтобы подтвердить реализацию рекомендованных нами корректирующих мер, и, в зависимости от ваших потребностей, предоставить подтверждение того, что ранее выявленные уязвимости были успешно устранены. Это позволит вашей организации соблюдать нормативные требования или выполнять запросы третьих сторон, гарантируя при этом отсутствие дополнительных уязвимостей во время реализации корректирующих мер.

Мы соберем информацию о вашей технической инфраструктуре и различных используемых технологиях, что позволит нам определить необходимые усилия для вашего проекта. На основе этой информации мы назначим конкретных членов команды с необходимыми навыками и опытом для вашего проекта. Как только объем будет четко определен, мы вышлем вам коммерческое предложение.