logo

ТЕСТИРОВАНИЕ ЗАЩИЩЕННОСТИ
           ПО МЕТОДИКАМ OWASP, OSSTMM

открытые вакансии

анализ уязвимостей

моделирование угроз

сотрудники в соцсетях

уклонение от IDS/IPS

инъекция кода

анализ трафика

физический доступ

выполнение эксплойтов

реверсивные троянцы

анализ инфраструктуры

взлом паролей

перехват трафика

установка rootkit

установка реверсивных соединений

массовая скрытная установка бэкдоров

logo logo logo logo logo logo logo logo logo logo
logo logo logo logo logo ПОДГОТОВКА ВЫПОЛНЕНИЕ ПРОНИКНОВЕНИЯ ЭСКАЛАЦИЯ ПРИВИЛЕГИЙ ЗАКРЕПЛЕНИЕ ДОСТУПА



  • 1
  • 2
  • 3
  • 4
  • 5

Виды тестирования в соответствии с методикой Open Source Testing Methodology Manual (OSTMM)

Знания персонала защиты о тесте и его деталях

Знания команды экспертов-тестировщиков об организации и её внутреннем устройстве






ПОДКЛЮЧИТЬ

"СЛЕПОЙ" ТЕСТ


  • Обучение персонала и отработка на практике действий по противостоянию заранее известным атакам

ТЕСТ НА ПРОНИКНОВЕНИЕ


  • Практическая проверка готовности всех подразделений к защите от кибератак

ТЕСТ "СЕРЫЙ ЯЩИК"


  • Проверка внедрённых и используемых механизмов контроля, выявление недочётов, уязвимостей и сценариев атак.

ТЕСТ "БЕЛЫЙ ЯЩИК"


  • Проверка устойчивости к заранее известной уязвимости или сценарию атаки.

ТЕСТ "ТАНДЕМ"


  • Совместная отладка внедрённых механизмов контроля

"СТРЕСС" ТЕСТИРОВАНИЕ


  • Проверка готовности организации противостоять хорошо продуманным неизвестным сценариям атак.

"Слепой" тест - Учения

В ходе учений, сотрудники организации обучаются "на практике" использованию развёрнутых в организации механизмов контроля. Наши эксперты подготовят все необходимые данные, разработают сценарии атак, согласуют их с департаментом ИБ организации. В ходе выполнения тестов, сотрудники организации получат практические навыки по противодействую атакам используя имеющиеся механизмы контроля.

Начальные условия

  • Эксперт не обладает какими-либо начальными знаниями об устройстве организации, механизмах и процессах защиты, активах и каналах взаимодействия
  • Персонал защиты заранее знает о тестах и обо всех его деталях, включая время и векторы атак.

Задачи решаемые в ходе тестов

  • Выявление наиболее вероятных сценариев атак
  • Обучение персонала, отработка согласованности и координации действий всех подразделений по противостоянию заранее известным сценариям атак

Тесты "Серый ящик" - проверка уязвимости

Для закрытия уязвимостей, в организации разворачиваются различные механизмы контроля, на серверы и рабочие станции устанавливаются хотфиксы, обновления или патчи. Наши эксперты подготовят сценарии атак, согласуют их с департаментом ИБ организации и помогут проверить эффективность мер, направленных для защиты от какой-либо конкретной уязвимости.

Начальные условия

  • Эксперт обладает ограниченными знаниями об устройстве организации, механизмах и процесса защиты, активах, но обладает полным знанием каналов взаимодействия. Ширина и глубина тестов зависит от полноты информации, предоставленной команде тестирования
  • Персонал защиты заранее знает о тестировании и обо всех его деталях

Задачи решаемые в ходе тестов

  • Отрабатывается согласованность и координация действий по противостоянию известной кибератаке направленной на эксплуатацию какой-либо конкретной уязвимости
  • Выявляются недочёты в развёрнутых механизмах контроля. Повышается квалификация персонала защиты, выполняется обучение, проверяется квалификация

"Тесты "Тандем" - Отладка

В ходе тестов выполняется совместная отладка внедрённых контрмер и механизмов контроля. Тестировщики-эксперты и команда защиты обладают полными знаниями об отлаживаемых механизмах контроля и деталях атак. Тесты служат для настройки разворачиваемых или уже развёрнутых механизмов контроля.

Начальные условия

  • Эксперт выполняет тестирование с полными начальными знаниями об устройстве организации, механизмах и процесса защиты, активах и каналах взаимодействия, которые будут использоваться для тестирования
  • Персонал защиты заранее предупреждён о тестировании, времени его начала, длительности и всех деталях атаки

Задачи решаемые в ходе тестов

  • Совместная отладка внедрённых контрмер. Тестирование выполняется для поиска просчётов и ошибок во внедрении и настройке механизмов контроля, как для команды тестирования, так и персонала защиты.

Тест на проникновение

Тесты служат для практической проверки готовности всех подразделений к защите от неизвестных кибератак в условиях приближенных к реальным. Тестировщики-эксперты не обладают знаниями о внутреннем устройстве организации, команда защиты на знает об атаке и её деталях. В ходе тестирования организация получает практический опыт по противостоянию неизвестным атакам. Выявляются реальные уязвимости, работающие сценарии атак и критические пути в графе возможных вариантов атакующих действий.

Начальные условия

  • Эксперт не обладает какими-либо начальными знаниями об устройстве организации, механизмах и процессах защиты, активах и каналах воздействия.
  • Персонал защиты защиты не имеет никакой информации о границах тестов, тестируемых каналах взаимодействия или векторах атак.

Задачи решаемые в ходе тестов

  • Практическая проверка готовности всех подразделений к защите от неизвестных атак в условиях максимально приближенных к реальным
  • Проверка внедренных и используемых механизмов контроля, выявление уязвимостей и недочетов. Выявление и применение новых эффективных способов атакующих действий, уязвимостей и сценариев атак.

Тесты "Белый ящик" - проверка устойчивости

В результате установки новых серверов, внедрения новых сервисов возникают и новые риски, связанные с информационной безопасностью. В ходе тестов, защищённость выделенных ресурсов, адекватность используемых механизмов контроля и их эффективность может быть проверена командой тестироващиков. Наши инженеры разработают сценарии атак, согласуют их с департаментом ИБ и выполнят тестирование по указанным заранее целевым системам и каналам информационого воздействия.

Начальные условия

  • Эксперт обладает ограниченными знаниями об устройстве организации, механизмах и процесса защиты, активах, а также полным знанием каналов взаимодействия, которые будут использоваться для тестирования
  • Персонал защиты заранее предупреждён о тестировании, времени его начала, длительности, может обладать знаниями об используемых векторах атаки и каналах взаимодействия, не не обладает информацией об используемых для теста уязвимостях.

Задачи решаемые в ходе тестов

  • Проверяется готовность персонала защиты и всех механизмов контроля противостоять неизвестной атаке с большой глубиной и/или шириной границ тестирования
  • Выявляются недостатки в используемых механизмах контроля

"Стресс" тесты

Этот вид тестов является контрольной проверкой всех подразделений и всех механизмов контроля организации. Тестировщики обладают полными знаниями об организации, тогда как персонал защиты не обладает никакой информацией о планируемых атаках. Наши эксперты выполнят все необходимые подготовительные работы, разработают сценарии атак и выполнят все необходимые атакущие действия по преодолению защитных механизмов в организации.

Начальные условия

  • Эксперт обладает полными начальными знаниями об устройстве организации, механизмах и процесса защиты, активах и каналах взаимодействия, которые будут использоваться для тестирования
  • Персонал защиты работает в штатном режиме и не предупреждён о тестировании и не обладает информацией о деталях тестирования

Задачи решаемые в ходе тестов

  • Контрольная проверка всех механизмов защиты, их способность противостоять неизвестным атакам
  • Выявление работающих сценариев атак,нахождение критических путей по преодолению механизмов защиты и недостатков в механизмах контроля

Классы и каналы воздействия в методике Open Source Testing Methodology Manual (OSSTMM)

КЛАССЫ:
КАНАЛЫ:
Physical Security (PHYSEC)
Communication Security (COMSEC)
Spectrum Security (SPECSEC)
Human (HUMSEC)
Physical
Data Networks
Telecommunication
Wireless
Канал воздействия представляет собой все элементы коммуникации с сотрудниками организации, при которых коммуникация осуществляется физически или психологически.
Канал воздействия представляет собой всевозможные физические, не электронные способы коммуникации с организацией. Ключевым признаком является необходимость ощутимых физических усилий для взаимодействия.
Представялет собой все виды взаимодействия с организацией, осуществляющиеся через сети с пакетной коммутацией.
Канал представляет собой все виды взаимодействия с использованием цифровых и аналоговых видов сигналов по телефонным сетям, т.е. сетям в которых для взаимодействия используется принцип коммутации.
Канал воздействия представляет собой все электронные сигналы и излучения электромагнитного спектра. Включает:
  • ELSEC – коммуникации по беспроводному каналу
  • SIGSEC – управляющие излучения
  • EMSEC – побочные излучения устройств и кабелей.

Предложения по тестированию

Экспресс
тестирование

В ходе работы используется наиболее распространённые сценарии атак и специализированное программное обеспечение. Выполняется проверка на наличие известных уязвимостей, ключевых просчетов в организации доступа и ошибок при построении инфраструктуры. Оценивается сложность парольной защиты, наличие ресурсов со слабым контролем доступа, техническая готовность инфраструктуры противостоять распространенным атакам.
Тестирование выполняется за один день. Применяются известные эксплойты, выполняются широко известные сценарии атак.
Поверхность атаки максимально большая для определения явных пробелов в защищённости организации.
Используется распространённый инструментарий для преодоления защиты.

Стандартное тестирование

Тестирование предназначено для проверки защищённости организации с использованием наиболее популярных классов и каналов воздействия. Тестирование представляет собой мини-проект с чётким описанием границ тестирования, набором выполняемых тестов и проверяемых механизмов защиты. Тестирование заключается в выполнении широкого спектра заранее согласованных сценариев атак на организацию и выявлению недостатков в механизмах защиты. В зависимости от типа тестов, в ходе стандартного тестирования может быть решён комплекс задач по обучению персонала защиты противодействию атакам, выполняемым в ходе тестирования с использованием уже развёрнутых в организации механизмов контроля.
Тестирование выполняется за 20 рабочих дней. Предоставляется расширенный отчет по ходу тестирования с комментариями и рекомендациями по устранению выявленных недостатков.
Применяются техники уклонения от механизмов распознавания атак, например, такие как модифицированные версии известных эксплойтов.
Применяются сценарии атак, предполагающие задействование нарушителями заранее подготовленной дополнительной инфраструктуры.
Сетевой трафик проверяется на возможность перехвата и расшифровки (учетные данные пользователей, переговоры по VOIP-телефонии), расширенное тестирование стойкости паролей, поиск индивидуальных путей для эскалации привилегий (определение и взлом пользователей с расширенными правами, анализ доступных в сети данных с целью выявления целей для точечной атаки, имитация инцидентов для привлечения IT-персонала к уязвимой системе).

Расширенное тестирование по выделенным
каналам и классам

Тестирование заключается в выполнении специализированных, заранее согласованных сценариев атак и выявлению недостатков в механизмах защиты. Тестирование предполагает концентрацию усилий экспертов-тестировщиков на преодолении указанных (либо заранее неизвестных) механизмов контроля. Со стороны персонала защиты, в процессе тестирования, происходит обучение, либо проверка готовности противостоять неизвестным атакам.
Длительность тестирования оговаривается с клиентом. Тестирование предназначено для углубленной проверки защищённости какой-либо части инфраструктуры организации.
В ходе тестирования, по согласованию, могут применяться техники подавления механизмов контроля, выполняться сложные многоходовые атаки с подключением дополнительной инфраструктуры атакующей стороны, задействованной для выполнения атаки.
Разрабатывается специальный комплекс тестов, а также рекомендаций для защиты информационных ресурсов первых лиц компании, в том числе от авторизованного инсайд-шпионажа.

2012 © ООО «Ай Экс Ай Лаборатория защиты информации»
Все права защищены.

115184, г. Москва, ул. Бахрушина, д. 11/48, стр. 4
Телефон/Факс: +7 (495) 648-6007
E-mail: info@ixi.ru

©All rights reserved - IXI

Яндекс.Метрика