Тестирование на проникновение и анализ защищённости

ДЛЯ КАЖДОГО ИЗ ВЕБ-ПРИЛОЖЕНИЙ СПЕЦИАЛИСТЫ ВЫПОЛНЯТ:

• Автоматизированное сканирование веб-приложения с применением сканеров уязвимостей веб-приложений.
• Ручные проверки веб-приложения на наличие уязвимостей с использованием методик OWASP, OSSTMM.
• Разработка proof-of-concept (примеров эксплуатации) выявленных уязвимостей, оценка их степени критичности, а также рекомендаций по их устранению.
• В случае появления соответствующего доступа в результате эксплуатации уязвимостей проводится анализ полученной информации с целью поиска возможности дальнейшего развития атаки.

________________________________

Результатом выполнения данных работ будет служить отчет об анализе защищенности веб-приложений c рекомендациями по устранению выявленных уязвимостей.

Анализ защищенности мобильных приложения проводится в соответствии с рекомендациями OWASP Mobile Security Project.

ВЫПОЛНЯЕТСЯ ПОИСК УЯЗВИМОСТЕЙ,
ВКЛЮЧЕННЫХ В TOP TEN MOBILE RISKS:

• Недостаточный контроль данных на серверной стороне;
• Небезопасное хранение данных;
• Недостаточная защита транспортного уровня передачи данных;
• Непреднамеренная утечка данных;
• Недостаточная аутентификация и авторизация;
• Некорректная реализация криптографических алгоритмов;
• Инъекции управляющих конструкций на клиентской стороне;
• Критические решения на основе недоверенных входных данных;
• Некорректная обработка сессий;
• Недостаточная защита сборки приложения.

В рамках работ по анализу защищенности мобильных приложений также выполняется анализ серверной части приложения. Тестирование может проводиться в соответствии с различными моделями потенциальных злоумышленников в зависимости от предоставленных исходных данных.

________________________________

Результатом выполнения данных работ будет служить отчет об анализе защищенности мобильных приложений c рекомендациями по устранению выявленных уязвимостей.

Одной из точек проникновения в информационную инфраструктуру организации является человек. Путем применения методов социальной инженерии злоумышленник может получить доступ к учетной записи одного из пользователей, а иногда и сразу администратора, что позволит пробраться глубже в инфраструктуру, получить доступ над контроллером домена и произвести атаку на критичные ресурсы организации.

Чтобы избежать такого негативного сценария необходимо заниматься повышением осведомленности работников по вопросам информационной безопасности.

Специалисты проведут комплексное тестирование на проникновение методами социальной инженерии и обучат всех ваших работников базовым мерам по информационной безопасности для минимизации рисков компрометации через данный вектор атак.

В РАМКАХ ДАННОГО ТЕСТИРОВАНИЯ СПЕЦИАЛИСТЫ ПРОВЕДУТ:

• email-фишинг,
• вишинг,
• Wi-Fi-фишинг,
• смишинг,
• физический социнжиринг.

________________________________

Результатом работ будет служить отчет с оценкой уровня осведомленности работников организации по вопросам информационной безопасности.

Проведение регулярной и неограниченной по времени имитации целевых (APT) атак с использованием самых продвинутых методов, применяемыми современными хакерскими группами.

Оценка возможности проникновения и получения несанкционированного доступа к информации и активам компании, административного доступа к инфраструктуре с внешнего или внутреннего контура.

Проведение работ по тестированию на проникновение позволяет выявить уязвимые точки проникновения в информационную инфраструктуру организации, перечень слабозащищенных ресурсов организации, а также недостатки в текущих процессах информационной безопасности.

МЕТОДЫ ТЕСТИРОВАНИЯ

• Черный ящик — не предоставляются учетные данные и информация о тестируемой среде.
• Серый ящик — предоставляются необходимые для анализа права в тестируемой среде, а также некоторые сведения о ее реализации.

ВИДЫ ТЕСТИРОВАНИЯ НА ПРОНИКНОВЕНИЕ

• Внешнее тестирование на проникновение — оценка уровня защищенности ИТ-инфраструктуры от возможных атак злоумышленника из сети Интернет.
• Внутреннее тестирование на проникновение — оценка уровня защищенности ИТ-инфраструктуры от возможных атак инсайдера.

ВИДЫ ТЕСТИРОВАНИЯ НА ПРОНИКНОВЕНИЕ

• Рекогносцировка и сбор информации о сети
• Сканирование с помощью сканеров безопасности
• Ручной поиск уязвимостей и ошибок, способных привести к компрометации активов
• Верификация и анализ выявленных уязвимостей
• Эксплуатация выявленных уязвимостей
• Пост-эксплуатация и закрепление в системе
• Повышение привилегий
• Оценка рисков и угроз информационной безопасности
• Составление отчета.

________________________________

Результатом работ будет служить отчет о тестировании на проникновение в котором будут отражены методика проведения работ, а также подробное описание выявленных уязвимостей и результатов тестирования.