Аудит IT-инфраструктуры

Pentest(тест на проникновение) - понятие, которым описывается процесс, заключающий в себе процедуру глубокого аудита сетевой безопасности.

Это понятие включает в себя определённый набор правил, методик и процедур. Все перечисленное - это знания, полученные на практике и которые могут действительно точно оценить состояния безопасности сети, приложения, системы или комбинации перечисленного. Пентест может осуществляться независимо, или же как часть аудита ит инфраструктуры, в которой используется определенная методика управления рисками.

Типы пентеста

Существуют различные подходы к пентесту, которые в общем сводятся к двум основным моделям, наиболее широко принятым в данной сфере - блэкбокс (blackbox) и вайтбокс (whitebox).

Блэкбокс

Суть подхода блэкбокс - при его применении аудитор не будет знать ничего об используемых технологиях, используемых в проверяемой организации. В этом случае проверяющий будет использовать хакерские приёмы, которые используются при настоящем взломе в определённом порядке. Данные действия позволят выявить уязвимости, которые, теоретически, проверяющий сможет использовать.

Для аудитора очень важно уметь понимать характер уязвимости и классифицировать их по уровню риска. Уровень риска можно оценивать по возможному урону инфраструктуре и бизнес процессам от использования уязвимости. Хороший проверяющий сможет выявить все векторы атаки, которые могут привести к компрометации проверяемого объекта. После окончания технической стороны пентеста, начинается процедура составления отчета, содержащего в себе всю необходимую информацию, касающуюся состояния информационной безопасности клиента, которая включает в себя перечисление найденных рисков и описания того, как они могут повлиять непосредственно на функциональность бизнеса.

Blackbox тестирование - процесс дорогой, вследствие необходимости наличия большого опыта и умения использовать самые разные инструменты для проникновения.

Вайтбокс

Суть следующего подхода под названием whitebox - аудитор знает в точности о том, какие системы используются внутри целевого предприятия. Как следствие, это открывает огромные просторы для проверяющего для критической оценки уязвимостей в безопасности с минимумом затраченных усилий, но с максимумом точности.

По сравнению с предыдущим методом, данная проверка может оказаться более ценным опытом для организации с той точки зрения, что во время такого тестирования будет выявлено 99.9% уязвимостей, в то время как в предыдущем случае количество найденных уязвимостей будет на порядок меньше. Такой подход как уайтбокс можно использовать на регулярной основе.

Если провести итоговое сравнение, то можно сказать, что блэкбокс- это подход, который показывает действительную степень устойчивости к атакам, а вайтбокс - это гибкий инструмент для поддержания необходимой степени устойчивости и безопасности.

Использование Кали Линукс (Kali Linux)

Несколько методик с открытым исходным кодом были созданы для того, что бы полностью удовлетворять потребности аудиторов. Используя эти методики, можно правильно планировать такую трудоемкую задачу, как сохранение целостности информационной безопасности предприятия. Некоторые методики фокусируются на технической стороне вопроса, другие - на управленческой. Самые известные из них - Open Web Application Security Project Testing Guide (OWASP-TG) и Web Application Security Consortium Threat Classification(WASC-TC). Использовать их можно по одному или вместе (для лучшей надежности и повышения шансов нахождения уязвимостей).Кроме того, последний можно использовать со свободно распространяемым дистрибутивом для пентеста Kali Linux. Kali Linux - невероятно богатый и гибкий инструментарий для пентеста. По сути, это просто Debian, в котором предустановленно большое количество приложений, таких как порт-сканнеры, комплекты ПО для оценки состояния безопасности системы и так далее.

Результатом нашей работы будет являться обнаружение уязвимостей в работе корпоративной инфраструктуры, оценка степени рисков, рекомендации по устранению и отчетность об исследовании.