Процесс включает анализ всех внешних точек доступа, таких как серверы и сетевые устройства, для выявления уязвимостей, которые могут быть использованы для несанкционированного доступа или вредоносных действий
Цель состоит в том, чтобы проверить уровень защиты от внешних атак и соответствие текущим стандартам кибербезопасности, а также идентифицировать и устранить потенциальные угрозы и уязвимости
Тестирование моделирует действия потенциального злоумышленника, атакующего организацию снаружи
Внутренний пентест
Тестирование включает всю внутреннюю инфраструктуру, в том числе рабочие станции, серверы и прикладные системы. Такой подход помогает обнаружить слабости, включая неправильно настроенное программное обеспечение, уязвимости операционных систем и ошибки в настройках безопасности, которые могут привести к утечке конфиденциальной информации или другим последствиям для внутренней безопасности
Выявляет уязвимости внутри корпоративной сети, которые могут быть эксплуатированы после успешного проникновения злоумышленника или недобросовестным сотрудником
Анализ исходного кода приложения (White Box)
Этот процесс включает оценку качества кода, проверку на наличие известных уязвимостей и анализ возможностей несанкционированного доступа или выполнения кода
Подробный анализ исходного кода приложения проводится для выявления всех потенциальных уязвимостей, включая слабые места в коде, которые могут быть эксплуатированы злоумышленниками
Пентест сайта и веб-приложений
В процессе тестирования используются различные методики, включая сканирование на уязвимости, фаззинг параметров и симуляцию атак XSS и SQL инъекций
Тестирование на проникновение направлено на выявление уязвимостей, которые могут позволить хакерам компрометировать сервер, украсть конфиденциальные данные или нарушить функциональность веб-сайта
Социотехнический пентест
Включает в себя ряд методик, таких как фишинговые атаки, вишинг (голосовой фишинг) и другие стратегии манипуляции, чтобы понять, насколько хорошо сотрудники подготовлены к различным схемам социальной инженерии и могут ли они эффективно защищать конфиденциальную информацию
Тестирование, направленное на оценку уровня осведомленности сотрудников о угрозах информационной безопасности
Пентест мобильных приложений
Тип пентеста включает анализ безопасности кода приложения, проверку на наличие уязвимостей в API, а также тестирование на стороне клиента и сервера для оценки защищенности приложения от различных видов атак
Тестирование на проникновение мобильных приложений фокусируется на обнаружении уязвимостей, которые могут быть использованы для несанкционированного доступа к данным пользователя, утечки информации или других форм взлома
Тестируем систему и сеть с позиции внутреннего пользователя, выявляем уязвимости, недостатки в системах и несанкционированный доступ
Внешний пентест
Пентест системы с позиции злоумышленника, находим слабые места, рекомендуем, как улучшить защиту и прийти к соответствию требованиям регуляторов
Анализ исходного кода (White Box)
Произведем анализ исходного кода приложений на наличие уязвимостей и снизим возможные риски для организации
Пентест сайта и веб-приложений
Проводим тестирование на проникновение для выявления уязвимостей, позволяющих получить доступ к данным или нарушить работу
Пентест мобильных приложений
Производим поиск уязвимостей в приложении, которые могут быть использованы для проведения атак и несанкционированного доступа к данным
Социотехнический пентест
Оцениваем способность сотрудников выявлять угрозы безопасности и противодействовать атакам злоумышленников
Почему выбирают нас?
Соответствие стандартам безопасности
Приведем уровень защиты компании к соответствию международным и локальным стандартам безопасности
/02
Выявим и устраним уязвимости, значительно уменьшим вероятность возникновения инцидентов безопасности
Снижаем риски IT-инцидентов
/03
Эффективное реагирование на инциденты
Предоставляем детализированные отчеты и стратегии реагирования, позволяющие оперативно нейтрализовать угрозы
/01
Проверка и оптимизация защитных мер, которые мы проводим, способствуют стабильной работе систем, минимизируя простои и финансовые потери
Повышение производительности IT-систем
/04
Пентест помогает соответствовать регуляторным требованиям, повышает осведомленность сотрудников о рисках безопасности и позволяет эффективно распределять ресурсы на защиту
Пентест обеспечивает долгосрочную безопасность данных и активов компании, помогая выявить и устранить уязвимости заранее
Используем новейшие методы проверки предоставляя актуальных данные о состоянии их безопасности
Повысим уровень доверия клиентов и партнеров к вашей компании за счет устранения рисков информационной безопасности
Укрепление деловой репутации
/06
Классификация тестированияна проникновение:
Black Box Testing (Черный ящик)
Тестировщик не имеет информации о внутренней структуре системы. Это имитирует атаку настоящего злоумышленника, у которого нет внутренних знаний о системе
Grey Box Testing (Серый ящик)
Тестировщик имеет частичные знания о системе, что может включать доступ к кодам, архитектуре системы, или другой документации. Это позволяет проводить более фокусированное тестирование
White Box Testing (Белый ящик)
Тестирование с полным доступом к информации о системе, включая архитектуру, исходные коды и другие важные аспекты. Это позволяет глубоко анализировать уязвимости
Red Teaming
Включает тест на проникновение, физическое тестирование, социальную инженерию и другие методы. Цель - оценить, насколько хорошо система защищена от серьезных угроз
Purple Teaming
Сотрудничество между красной (атакующей) и синей (защитной) командами. Позволяет максимизировать эффективность тестирования путем обмена знаниями между атакующими и защитниками для улучшения защиты
На этапе подготовки формируются все необходимые документы и ведется активное взаимодействие с клиентом для уточнения целей аудита и обсуждения всех ключевых вопросов
Information Gathering
Анализ текущего веб-сайта компании для определения применяемых технологий и функционала веб-приложений
Обнаружение и анализ известных уязвимостей, а также функций, которые могут привести к нежелательным или случайным действиям
Vulnerability Assessment
Разработка и подготовка эксплойтов и необходимых инструментов после выявления потенциальных уязвимостей для их тестирования на веб-сервере
Exploitation
Извлечение конфиденциальной информации и детальное исследование веб-сервера для увеличения уровня доступа, в зависимости от настроек и конфигурации системы
Post-Exploitation
/01
/02
Передвижение по сети и получение доступа к другим системам на основе выявленных уязвимостей и скомпрометированных данных
Lateral Movement
/03
/04
/05
/06
Разработка доказательства концепции, подтверждающего возможность эксплуатации уязвимостей, что включает в себя подготовку и демонстрацию способов их использования
Proof-of-Concept
/07
/08
Оформление и представление окончательной документации клиенту в виде официального отчёта. Процесс включает обсуждение отчёта для уточнения деталей о проведённых испытаниях и результатах, а также оказание необходимой помощи персоналу для устранения обнаруженных недочетов
Post-Engagement
Сравнение внешнего и внутреннего тестирования
Запуск внешнего и внутреннего тестирования на проникновение. Проведение обоих тестирований возможно как последовательно, так и отдельно друг от друга
Содержание отчёта
Отчёты по тестированию на проникновение сосредоточены на анализе результатов сканирования, подробном описании уязвимостей и оценке их критичности
Оценка уязвимости
Оценка защищенности включает в себя автоматизированное и ручное сканирование для выявления потенциальных уязвимостей
Оценка тестирования и отчёт с результатами
/кейсы
/02
Устранение RCE-уязвимости в модуле загрузки файлов
[01] В ходе тестирования системы на проникновение была выявлена серьёзная уязвимость в механизме аутентификации на странице входа в интернет-банк. [02] Уязвимость позволяла злоумышленнику отправить специально сформированный запрос, что открывало возможность обойти стандартный процесс авторизации и получить доступ к учетным данным пользователей.
Потенциальные последствия
[01] В случае игнорирования данной уязвимости злоумышленники могли получить несанкционированный доступ к учетным данным пользователей, что потенциально могло быть использовано для проведения мошеннических операций. [02] Подобные инциденты, приводят к утрате доверия со стороны клиентов, нанося значительный репутационный ущерб компании. Кроме того, существует вероятность финансовых потерь и судебных разбирательств.
Принятые меры
[01] После обнаружения уязвимости был проведён детальный анализ, и специалисты по информационной безопасности предоставили рекомендации по её устранению. [02] В частности, было предложено использовать параметризованные запросы и усовершенствовать механизм валидации входных данных с целью предотвращения выполнения вредоносных команд. Данные рекомендации были оперативно внедрены разработчиками.
Результаты
[01] Повторное тестирование подтвердило полное устранение уязвимости. [02] Механизм аутентификации стал более надёжным, а общий уровень безопасности системы интернет-банка значительно повысился. [03] Клиенты могут быть уверены в сохранности своих данных, что позволило снизить риски их утечки, и предотвратить финансовые убытки для банка.
Устранение SQL-инъекции в системе интернет-банка
/кейс 01
Описание проблемы
[01] В процессе тестирования веб приложения была выявлена критическая уязвимость, связанная с возможностью удалённого выполнения команд (Remote Code Execution, RCE) через модуль загрузки файлов. [02] Уязвимость позволяла злоумышленнику загрузить специально подготовленный файл, что могло привести к выполнению произвольного кода на сервере.
Потенциальные последствия
[01] В случае эксплуатации данной уязвимости злоумышленники могли получить несанкционированный доступ к серверу и его ресурсам, что потенциально могло привести к полному захвату контроля над серверной инфраструктурой, утечке данных и даже полной остановке работы веб - приложения. [02] Подобные инциденты представляют собой серьёзную угрозу для репутации компании и могут повлечь за собой значительные финансовые потери.
Принятые меры
[01] После анализа выявленной уязвимости были предложены и внедрены необходимые меры по её устранению. [02] В частности, были реализованы многоуровневые проверки и ограничения на типы файлов, а также усовершенствованы механизмы их обработки, что полностью исключило возможность выполнения произвольного кода на сервере.
Результаты
[01] Повторное тестирование подтвердило полное устранение уязвимости. Веб-приложение стало защищённым от атак данного типа, что значительно снизило риски для серверной инфраструктуры и утечки данных пользователей. [02] Благодаря этим мерам компания избежала возможных репутационных и финансовых потерь, а также повысила общий уровень информационной безопасности своей инфраструктуры.
Устранение RCE-уязвимости в модуле загрузки файлов
/кейс 02
/вопросы:
Как часто нужно проводить пентест?
Пентест следует проводить регулярно, по крайней мере раз в год, или чаще в зависимости от изменений в IT-инфраструктуре или после значимого обновления системы
Отличия внутреннего и внешнего пентеста?
При проведении внешнего пентеста производится тестирование на проникновение инфраструктуры, доступной из внешней сети. Внутренний пентест направлен на выявление уязвимостей внутреннего периметра организации
Какие методы тестирования вы используете?
Для проведения тестирования мы используем автоматизированные инструменты тестирования и ручное тестирование
Сколько длится стандартный пентест?
Длительность пентеста варьируется от нескольких недель до нескольких месяцев в зависимости от сложности и объема тестируемой системы
Какие ведутся меры после выявления уязвимостей?
После выявления уязвимостей разрабатываются рекомендации по их устранению, проводится повторное тестирование для проверки исправлений, и составляется отчет о состоянии безопасности
Риски для компаний без регулярного пентеста?
Отсутствие регулярного пентеста увеличивает риск утечек данных, кибератак и нарушений безопасности, что может привести к финансовым потерям и ущербу для репутации
Какие виды пентеста необходимы для финансовых организаций?
Для финансовых организаций рекомендуется проводить комплексное тестирование внешнего и внутреннего периметра
Пентест обеспечивает соответствие требованиям регуляторов?
Пентест помогает обеспечить соответствие требованиям регуляторов по кибербезопасности, предоставляя доказательства проведенных мероприятий по обеспечению безопасности
Пентест следует проводить регулярно, по крайней мере раз в год, или чаще в зависимости от изменений в IT-инфраструктуре или после значимого обновления системы
При проведении внешнего пентеста производится тестирование на проникновение инфраструктуры, доступной из внешней сети. Внутренний пентест направлен на выявление уязвимостей внутреннего периметра организации
Для проведения тестирования мы используем автоматизированные инструменты тестирования и ручное тестирование
Длительность пентеста варьируется от нескольких недель до нескольких месяцев в зависимости от сложности и объема тестируемой системы
После выявления уязвимостей разрабатываются рекомендации по их устранению, проводится повторное тестирование для проверки исправлений, и составляется отчет о состоянии безопасности
Отсутствие регулярного пентеста увеличивает риск утечек данных, кибератак и нарушений безопасности, что может привести к финансовым потерям и ущербу для репутации
Для финансовых организаций рекомендуется проводить комплексное тестирование внешнего и внутреннего периметра
Пентест помогает обеспечить соответствие требованиям регуляторов по кибербезопасности, предоставляя доказательства проведенных мероприятий по обеспечению безопасности
Оценка уязвимости
Процесс тестирования может происходить как со стороны анонимного пользователя, так и со стороны привилегированного пользователя.
В рамках тестирования производится анализ всех возможных путей компрометации, что в свою очередь позволяет провести комплексную оценку эффективности используемых меры защиты.
Включает в себя автоматизированное и ручное сканирование для выявления потенциальных уязвимостей.
Внутреннее против внешнего
Внутреннее тестирование осуществляется изнутри сети организации и направлено на поиск уязвимостей, скрытых за фаерволом.
Внешнее тестирование на проникновение проводится с позиции анонимного пользователя из интернета и направлено на системы, доступные для общего доступа.
Это может быть осуществлено как после успешного внешнего проникновения, так и в рамках специально разработанного сценария внутреннего тестирования.
Содержание отчёта
Мы систематизируем полученные данные, выделяем ключевые моменты и представляем информацию в удобном для анализа виде, чтобы обеспечить объективные выводы и определить дальнейшие шаги.
Отчёт по тестированию на проникновение фокусируются на анализе результатов тестирования, включая подробное описание подтвержденных уязвимостей и оценку их критичности.