Проведение тестирования на проникновение с целью оценки защищенности от внешних угроз

Внешний тест на проникновение позволяет Компании получить оценку реального уровня защищенности информационных активов от внешних атак потенциального нарушителя. Перечень информационных активов и векторы моделируемых атак определяются на первоначальном этапе проведения теста на проникновение и согласовываются с Компанией.

В качестве целевых для потенциального злоумышленника активов могут выступать как внутренняя корпоративная сеть Компании, так и конкретные информационные системы, в том числе содержащие критичные для Компании данные.

Внешний пентест предполагает имитацию действий нарушителя, который действует через сеть Интернет, может иметь физический доступ к месторасположению офисов Заказчика и месторасположению беспроводных локальных сетей Заказчика.

Начиная с 2018 года проведение тестирования на проникновение является обязательным требованием Банка России к финансовым организациям и одним из возможных способов реализации требований нормативных документов ФСТЭК России по анализу уязвимостей значимых объектов критической инфраструктуры до ввода его в эксплуатацию.

При проведении работ «ДиалогНаука» использует собственную методику проведения тестов на проникновение, включающую в себя использование методов социальной инженерии, а также комплекса специализированных программных средств, позволяющих смоделировать атаки со стороны потенциального злоумышленника.

В качестве исходных данных для внешнего пентеста достаточно указать информацию о внешних IP-адресах и сервисах компании.

По результатам проведенного внешнего пентеста предоставляется отчет, содержащий:

• описание границ, в рамках которых был проведен внешний пентест;
• методы и средства, которые использовались в процессе проведения внешнего пентеста;
• описание выявленных уязвимостей и недостатков, включая уровень их риска и возможность их использования потенциальными злоумышленниками;
• описание предпринятых сценариев проникновения;
• описание достигнутых результатов;
• базовую оценку рисков и процессов обеспечения ИБ;
• рекомендации по устранению выявленных уязвимостей и совершенствованию процессов обеспечения ИБ;
• план работ по устранению найденных уязвимостей и совершенствованию процессов обеспечения ИБ в соответствии с критичностью обнаруженных уязвимостей.