ТЕСТВАНЕ НА ИНФОРМАЦИОННИТЕ СИСТЕМИ -

ПЕНЕТРЕЙШЪН ТЕСТ, ТЕСТВАНЕ ЗА УЯЗВИМОСТИ,

СОЦИАЛНО ИНЖЕНЕРСТВО, ПРЕВЕНЦИЯ ОТ DOS АТАКИ
ТЕСТ ЗА УЯЗВИМОСТИ И ПЕНЕТРЙШЕН ТЕСТ

МРЕЖОВИ ПЕНЕТРЕЙШЪН ТЕСТ (Netowork penetration

test)
Пенетрейшън тестът (penetration test) е тест за получаване
на достъп до ИТ система. Основната му цел е да се
идентифицират уязвими точки, позволяващи на злонамерени
лица да установят достъп до информационните ви системи
и/или друга конфиденциална информация.
CONSEJO може да предотврати евентуални пробиви, като
идентифицира потенциални заплахи и предложи контролни
мерки за управление на уязвимостите, преди злонамерени
хакери да успеят да ги експлоатират. Пенетрейшън тестът може
да се извърши както отвън, така и отвътре, анализирайки
вашите локална и глобална мрежи. Анализираме степента на
защита на вашата вътрешна и публично достъпна мрежа.
Способни сме да създадем виртуална топология на вашите
сървъри, рутери, суичове, точки за достъп, защитни стени,
IPS/IDS устройства и други. След проучване на наличните
устройства във вашата мрежа, проверяваме доколко те са
ъпдейтнати и тестваме всички възможни уязвимости за
намерените услуги и протоколи. Тестваме дали вашата
конфиденциална информация е криптирана с достатъчно силни
алгоритми, така че неоторизирано лице да не може да я прочете.

Мрежовите тестове също така включват тестване на

фърмуеъра и стоковия софтуер който е инсталиран върху
различните устройства.
В резултат на пенетрейшън тестът ще можете да видите
системите си от гледна точка на хакер и на опитен
професионалист по мрежова сигурност, за да откриете къде
можете да подобрите сигурността си. Нашите експерти изготвят
писмен доклад с необходимите насоки за ефективно
отстраняване на всички открити проблеми.
Подходът на CONSEJO се състои от около 80% ръчно
тестване и 20% автоматизирано тестване. Въпреки че
автоматизираното тестване позволява ефективност и бързина
на теста, то е удачно по време на началните фази на теста за
проникване.

ПЕНЕТРЕЙШЪН ТЕСТОВЕ НА УЕБ ПРИЛОЖЕНИЯ

Уеб приложение е всяка апликация, която е достъпна чрез
уеб сървър (напр. Apache, IIS и др.). Пример за уеб приложение
са порталите за онлайн разплащания или банкиране, уеб
сайтове, които се управляват от системи за управление на
съдържанието (като WordPress, Joomla, Mambo и др.), сайтовете
за електронна търговия, софтуерната система за контрол на
версиите (известна още като SVN), уеб услуги и т.н.
Уеб приложенията са също сред любимите цели на
хакерите, които използвайки относително прости уязвимости,
могат да получат достъп до конфиденциална информация.
Според статистиката, над 80% от всички пробиви са
резултат от уязвимости на уеб приложения. В много случаи
слабите места, които водят след себе си до сериозни пробиви, са
напълно игнорирани и от автоматизираните, и от
конвенционалните методи за тестване. В други случаи дупките в
сигурността са идентифицирани, но неправилно приети за
непробиваеми, заради наличието на защитни технологии.
Често срещано погрешно схващане е, че могат да се
използват параметризирани заявки за премахването на
възможностите от инжектиране на зловреден код в базата
данни. Истината е, че ако параметризираните заявки не са
изградени правилно, тогава често експлоатацията е все още
възможна.
 Друго погрешно разбиране е, че защитните стени на уеб
приложенията ги защитават от атака. Всъщност техните
защитни стени ги предпазват само срещу атаки, за които са
конфигурирани, но са изцяло неефективни срещу нови методи
за атака.
Практиката показва, че организацията трябва да
извършва проверка на уеб приложенията в допълнение към
редовните оценки на сигурността, за да се гарантира тяхната
защитеност.
Най-големият риск за една организация, е да приеме, че е
защитена, без да провери и тества използваните защитни
механизми.

ТЕСТОВЕ ЗА СОЦИАЛНО ИНЖЕНЕРСТВО

Социалното инженерство е метод за проникване в ИТ
система, който разчита на човешки слабости, а не на хардуерни,
софтуерни или мрежови уязвимости.
CONSEJO предлага четири основни области на социално
инженерство, в които може да бъде тествана човешката
податливост на убеждаване, внушение и манипулация:

Имейл фишинг
Имейл фишинг е похват при който се изпраща имейл от
фалшив източник с подлъгваща или невярна информация,
която подтиква получателя на имейла да извърши определени
действия, целящи извличане на чувствителна информация или
инсталиране на зловреден код.

Чувствителна информация се обменя чрез имейли почти

непрекъснато. Въпреки това голяма част от този обмен не
преминава през подходящи защитени канали.
Имейл фишингът, който CONSEJO ще извърши, провокира
персонала да посети непознати уеб сайтове, да разкрие
чувствителна информация, или казано накратко - да извърши
действие, което служителите не биха направили в просто така.

Телефон/SMS
Обменът на поверителна информация по телефона се
случва почти постоянно, както и при останалите канали за
комуникация. Внушението, че да чуеш гласа на даден човек по
телефона е достатъчно потвърждение на неговата самоличност,
е често срещано. По тази причина злонамерените лица вече
пренасочват усилия все по-често от социалното инженерство по
имейл към такова чрез телефон.
Използвайки телефонна комуникация CONSEJO ще
провери доколко вашите служители са склонни да разкрият
чувствителна за вашата организация информация, или са
податливи да извършат друго действие, с което биха могли да
накърнят вашите интереси – умишлено, или не.

Физическо социално инженерство

CONSEJO е специализирано и в извършването на тестове
за социално инженерство физически на място – във вашата
фирма. Тестът протича в реална физическа среда, като нашите
експерти ангажират персонала пряко (явно) или непряко
(скрито). Целта на този вид тест е да разкрие евентуални
слабости в начина на контрол на физическия достъп до сгради и
информация.
Като част от извършваната проверка, нашите експерти се
представят за служители на доставчици, бизнес партньори и
дори за членове на семействата, за да провокират персонала да
разкрие конфиденциална фирмена информация или да разреши
достъп до зони в сградата ви, забранени за външни посетители.

ЗАЩИТА ОТ DOS АТАКИ

 Актуална хакерска атака е и тези от типа "Отказ на услуга"
(DoS). DoS атаката цели да срине инфраструктурата на клиента
и в частност предлаганата услуга, като изразходи ресурсите на
системите в инфраструктурата му. Този тип атаки се
осъществяват чрез генериране на огромно количество трафик,
което запълва капацитета на мрежовите канали. Стартират се
процеси, които се изпълняват до безкрай и консумират
ресурсите на хардуерните устройства.
DoS атаките се наблюдават все по-често, което ги
превръща в трайни, сложни и непреодолими предизвикателства
към сигурността на организации от най-различен мащаб.
DoS атаките не са новост, но наличните методи и ресурси
за провеждането и маскирането им са драстично еволюирали и
включват дистрибутирани (DDoS), а отскоро и дистрибутирани
рефлекторни (DRDoS) атаки, които не могат да бъдат
преодолени с традиционните решения.

Експертите на CONSEJO могат да ви помогнат да

изградите сигурна защита от DoS атака за намаляването на
подобни заплахи от всякакви форми, размери и мащаб,
включително и тези, които са насочени към масовите мрежови
протоколи.

Тестване на информационните системи - Пенетрейшън

тест, тестване за уязвимости, социално инженерство, превенция
от DoS атаки
 1. ПЕНЕТРЕЙШЪН ТЕСТ

ПЕНЕТРЕЙШЪН ТЕСТ
Тестовете за проникване са най-честата форма на решение
за киберсигурност, целящо да оцени сигурността на системата.
Те са основен аспект на изграждането на сигурна и надеждна
инфраструктура за бизнес от всякакъв мащаб. Въпреки че те са
били широко приети от компании, които ги предлагат като част
от услуга, повечето доставчици на киберсигурност не предлагат
цялостна рамка за справяне с по-сложни проблеми със
сигурността.
Нашата услуга се основава на нашия опит и е разделена на
две основни категории, за да предостави на потребителите по-
голяма гъвкавост.
Уеб пенетрейшън тест
В днешно време уеб приложенията са сред най-често
използваните форми на софтуер, които са склонни да бъдат
експлоатирани, използвайки сравнително прости уязвимости, за
да получат достъп до частни активи. Уеб приложенията също се
считат за едно от най-разпространените средства за събиране,
съхранение, управление и преразпределение на данни. Ето защо
е от съществено значение една от основните му цели да бъде
сигурността на приложението.
Статистически, над 80% от всички известни
компрометирания се дължат на експлоатираните слабости в уеб
приложенията. В много случаи уязвимостите, които водят до
успешно компрометиране на системата, са напълно игнорирани
от конвенционалните и автоматизирани методи за тестване.
Услугата съчетава както автоматизирано, така и ръчно
средство за тестване (последното се извършва с приоритет). За
да се идентифицира потенциалната атакувана цел, се извършва
разузнаване. Тази фаза е част от методологията за тестване за
проникване, която включва следните фази:
 ФАЗА 1: РАЗУЗНАВАНЕ
  ФАЗА 2: СКАНИРАНЕ
 ФАЗА 3: ПОЛУЧАВАНЕ НА ДОСТЪП
 ФАЗА 4: ЕСКАЛАЦИЯ НА ПРИВИЛЕГИИТЕ
Заедно с фазите, специалистите са задължени да познават
и метода за достъп:
 BLACK BOX ТЕСТ
Необходими са нулеви познания за активите на
компанията. Извършва се цялостна фаза на разузнаване, за да
се открият всички активи на компанията. Атакуващите избират
и следват собствена стратегия при изпълнението на тестовете.

 GRAY BOX ТЕСТ

Специалистите имат ограничена информация и определени
пълномощия за ограничен достъп до системата, предоставени от
клиента. Пример за тест, от този вид, би бил случаят в който
клиентът доброволно предоставя достъп на атакуващия до
определени части и контроли на достъп от системата с цел да се
провери тяхната стабилност и сигурност.

 WHITE BOX ТЕСТ

Специалистите получават пълен достъп до изходния код на
системата, административните профили, както и всяка друга
информация, свързана със системите, които са в обхвата на
тестване. Прегледът на сигурността на изходния код се
извършва при този вид тестове. Това е процес, който включва и
одит на изходния код на приложението с цел да се провери дали
са налични подходящите контроли за сигурност и дали те
работят както се очаква.

Като част от прегледа на сигурността на кода, следното се

взима предвид при проверката:
 Съхранение на информация
 Имплементация на криптографски примитиви
  Лимити и филтрация на входящите данни
 Уязвими вградени функции на езика
Мрежови пенетрейшън тест
Тестът анализира сигурността на мрежата както и
използването на различни методи за експлоатиране на услугите,
протоколите и устройствата (сървъри, рутери, комутатори,
точки за достъп, защитни стени, IPS / IDS устройства и други).
Тази част от услугата също се дели на две части:
 ВЪТРЕШЕН МРЕЖОВИ ПЕНЕТРЕЙШЪН ТЕСТ
Обичайно пренебрегван аспект на сигурността е
вътрешната организация в компанията. Общото убеждение е, че
вътрешната мрежа (интранет) не е достъпна от външни точки и
следователно не е вероятно да бъде предразположена към атака.
В разрез с това твърдение, най-слабата връзка в почти всяка
кибернетична защита са служителите на организацията. Те
разполагат с достъп до вътрешни активи и на тях се бива
гласувано доверие, когато става дума за практики за сигурност.
Основната причина за това е, че повечето атаки се очакват
отвън. Въпреки това, последните проучвания показват, че
вътрешните методи за атаки се увеличават с бързи темпове и
постоянно набират повече популярност.
Тестовете на сигурността на локалната мрежа могат да
бъдат осъществени отдалечено или на място (втората опция е
по-често предпочитаната).
 ВЪНШЕН МРЕЖОВИ ПЕНЕТРЕЙШЪН ТЕСТ
Противоположно на вътрешния, тестът за проникване на
външната мрежа симулира така наречената Black Box атака
срещу инфраструктурата на компанията, която е изправена
пред интернет. За целите на услугата тестовете за проникване
имат само обхват на тестване (обикновено това включва обхвата
на IP адресите, топологиите. Тестът се провежда от разстояние и
не изисква взаимодействие с потребителя.
И двете категории включват уеб пенетрейшън тест за
сървиси функциониращи посредством уеб сървър. Мрежовите
тестове представляват компактно решение, състоящо се от
следното:
ИДЕНТИФИКАЦИЯ НА ЦЕЛТА
 Откриване на хост
 Идентификация на вендори
ОЧЕРТАВАНЕ НА ОБХВАТА
 Сканиране на портове
 Идентификация на услуги
 Разкриване на услуги
ОЦЕНЯВАНЕ
 Преглед на правилата
 Автоматизирани тестове
 Ръчна проверка
 Потвърждаване на откритите проблеми
ЕКСПЛОАТАЦИЯ
 Тестване срещу популярни уязвимости
 Тестване за логически недостатъци в организационните
единици
 Използване на известни експлойти
 Използване на персонализирани скриптове или
модифицирани експлойти
 Използване на откритите уязвимости
Тестовете, извършени от ENCRYPT, симулират злонамерена
насочена атака. В края на теста за проникване се изготвя
доклад, който предоставя лесно разбираемо описание на
констатациите, както и препоръки за премахването на
уязвимостите.
Оценките се извършват в съответствие с препоръките,
описани в NIST SP 800-115.
 Колко сигурни сте в защитата на вашите системи и данни
срещу кибератаки и неоторизиран достъп?
Проверете на практика дали са уязвими вашите системи,
чрез провеждането на Penetration Tests!
СИГУРНОСТ
Запазете сигурността на системите в динамично
променящата се ИТ среда.
ВЕРИФИКАЦИЯ
Идентифицирайте, верифицирайте и оценете конкретните
за вашата ИТ среда уязвимости.
ПРИОРИТИЗИРАНЕ
Приоритизирайте плана за кибер сигурност спрямо
приложимостта и влиянието на заплахите за вашата
организация.
ЕКСПЕРТНА ИНТЕЛИГЕНТНОСТ
Включете експертна интелигентност, гарантираща точност
на резултатите и анализ на значимостта им за организацията.
Какво е Penetration Test?
Пенетрейшън тестовете или Тестове за пробив симулират
реални атаки към системи, приложения и данни, които могат да
бъдат предизвикани от външни хакери, злонамерени служители,
кибер-престъпни организации и др. Това е един контролиран
процес, който се провежда според изискванията и ИТ
обкръжението на вашата организация и след неговата
оторизация, като по никакъв начин не нарушава
работоспособността на проверяваните системи и целостта на
данните в тях.
Похватите и техниките, които използваме, позволяват
откриването и верифицирането на уязвими звена в системите,
като за разлика от чисто автоматизираните решения за
проверка на уязвимости, ние включваме експертна
интелигентност, гарантираща точност на резултатите и
анализиране на значимостта им за организацията.
 В доклада след тестовете получавате и списък с
приоритизирани спрямо критичността мерки за подобряване,
както и аргументирана оценка за вероятността от пробив в
конкретната реализация на ИТ обкръжението в организацията
ви.

Защо да предприемете penetration test?

Злонамерените атаки могат да доведат до преки
финансови загуби, да повлияят негативно на репутацията на
организацията, да намалят доверието на клиентите, както и да
доведат до други негативни последици за засегнатата
организация.
Причините, поради които е необходимо да предприемете
провеждането на пенетрейшън тестове, могат да включват:
За да установите дали вашите критични системи и услуги
са изложени реално на риск.
За да предотвратите кибер-заплахи, които биха оказали
негативно влияние на вашия бизнес.
За да осигурите и гарантирате непрекъсваемост на вашите
услуги.
За да защитите активите и репутацията на компанията
чрез избягване на финансовите загуби и лоша реклама.
За да адресирате основни изисквания, свързани с
регулации и стандарти като ISO 27001, PCI-DSS, GDPR.
Кога е препоръчително да проведете Penetration test?
Тестовете за пробив е препоръчително да се извършват
поне веднъж годишно или всеки път, когато:
Извършвате промени по вашата ИТ инфраструктура.
 Въвеждате нови системи в експлоатация.
Извеждате приложения и системи за ползване от по-широк
кръг потребители.
Сте претърпели инцидент в сигурността, който не сте
очаквали.
Имате нужда да покриете съответствия със стандарти като
ISO 27001, PCI-DSS и др.
Забелязвате необичайни събития в производителността на
системите.
Правите промени по политиките си за сигурност.
Информационната среда, както и заплахите срещу нея, се
развиват значително бързо във времето, за това предприемайте
Тест за пробив минимум един път годишно.
След всяко изпълнение на тестовете, предоставеният
анализ на резултатите е съпътстван от предложения за мерки за
подобрение, приложими веднага. Обобщаването и анализа на
резултатите от регулярни изпълнения на тестовете, са
приложими за определянето на цялостна стратегия за кибер
защита.
През годините сме предоставяли на множество
организации дългосрочни услуги, включващи планирани през
годината провеждания на тестове. Целта е запазване на
сигурността на системите в една динамично променяща се ИТ
среда. Тестовете за пробив на информационни системи, които
предлагаме, могат да бъдат приложени както като
индивидуална поръчка, така и като част от стратегия за
регулярно тестване на сигурността, продиктувана от
необходимостта за покриване на изисквания по регулации и
стандарти като ISO 27001, PCI-DSS, GDPR.
 Тестване за проникване
Какво представлява тестването за проникване?
Тест за проникване, пентест или етично хакване е метод за
оценка на сигурността на ИТ инфраструктура чрез безопасно
експлоатиране на уязвимости. Тези уязвимости могат да
съществуват в уебсайтове, операционни системи, хардуерни
устройства, услуги, приложения, неправилни конфигурации или
рисково поведение на крайния потребител. Такива оценки са
полезни и при валидиране на ефикасността на защитните
механизми, както и придържането на крайния потребител към
политиките за сигурност.
Тестването за пробив в сигурността обикновено се
извършва с помощта на ръчни или автоматизирани технологии
за безопасно компрометиране на сървъри, крайни точки, уеб
приложения, безжични мрежи, мрежови устройства, мобилни
устройства и други. След като уязвимостите са били успешно
експлоатирани в системата, етичните хакери използват
компрометираната система за стартиране на последващи атаки
на други вътрешни ресурси, като се опитват постепенно да
постигнат по-високи нива за достъп на електронни активи и
информация чрез ескалация на привилегиите.
Информацията за всички уязвимости в сигурността,
успешно експлоатирани чрез теста за проникване, обикновено
се обобщава и представя на мениджърите и ИТ специалистите
на компанията, за да направят заключения и да дадат
приоритет за отстраняване. Основната цел на тестването за
проникване е да се измери осъществимостта на зловредни атаки
и последиците, които подобни инциденти могат да имат върху
съответните ресурси или операции.
Какви са инструментите за пенетрейшън тест?
 Каква е разликата между сканиране за уязвимости и
пентест?
 Сканиране за уязвимости

Сканиране за уязвимости е процесът, който всяка една

компания е редно да имплементира в своят план за
подсигуряване на цялостната ИТ инфраструктура. Услугата
включва идентифициране и верифициране на публични
уязвимости във системите на нашите клиенти, използвайки
напълно автоматизирани средства. Независимо дали става
въпрос за Уеб апликации, вътрешни или публични мрежи,
услугата е подходяща за получаване на яснота относно това
колко е сигурна вашата инфраструктура от атаки. Една от
основните цели на услугата е да се идентифицират уязвимости,
които могат да доведат до загуба на активи.

Защо Ви е нужно?
Автоматизираното сканиране за уязвимости в големи
приложения или мрежи е напълно ефективен подход за да
получите ясна оценка на нивото на информационна сигурност,
както и основните рискове, които засягат инфраструктурата на
вашата компания. Услугата е напълно автоматизирана и не
отнема много време, като също така няма да прекъсне
работните ви процеси.
Услугата Сканиране за уязвимости често се бърка
с пенетрейшън тестовете, но те не трябва да се бъркат, тъй
като между тях има фундаментални разлики. Тестовете за
проникване (пенетрейшън тестовете) се фокусират върху
използването на открити уязвимости, докато процесът за
сканиране на уязвимости само открива слабости в самата
системата и то напълно автоматизирано. Спокойно може да се
каже, че услугата Сканиране за уязвимости е част от общата
методология на пенетрейшън тестове.
Крайният продукт е доклад от автоматизираното
сканиране, който е описан и одобрен от нашите специалисти.
Обобщение и класификация на уязвимостите също са включени,
както препоръки за отстраняване на уязвимостите.
 Киберсигурност
 Wireless IDS софтуер
 Цялостен мониторинг
 Тестове за уязвимости
 Firewall решения
 SIEM решения
 Пенетрейшън тестове
 WAF решения
 Тестване за проникване на уебсайт
Какво представлява тестването за проникване?
Теста за проникване (от английски пенетрейшън тест или
пен тест), известен също като етично хакерство, е симулирана
кибер атака срещу вашата компютърна система за проверка за
експлоатируеми уязвимости. С други думи, тестът за
проникване е процес, при който се използват методологии и
техники за да се идентифицират слабостите и пропуските в
сигурността, които биха могли да позволят на злонамерен хакер
да причини вреда или да получи неоторизиран достъп до
ресурсите, намиращи се в целевата система (бази данни,
информация за кредитни карти, чувствителни лични данни и
др.). След като се идентифицират пропуските в сигурността, се
предоставя анализ на потенциалните рискове и въздействието
на уязвимостите, заедно с мерки за отстраняването им.
Тестването на сигурността никога няма да бъде точна
наука, където може да се дефинира пълен списък на всички
възможни проблеми, които трябва да бъдат тествани. Всъщност
тестването на сигурността е подходяща техника за тестване на
сигурността при определени обстоятелства. Нашият екип за
тестване на проникване ще изтласка вашата система до
нейните предели в поредица от симулирани кибератаки,
откривайки всяка възможна уязвимост, така че Вие да получите
пълна картина на състоянието на киберсигурността си и 100%
от вашите данни да са в безопасност.

В рамките на ЕС повече от една десета от потребителите на

интернет вече са ставали жертва на онлайн измами. Броят на
инцидентите в областта на киберсигурността, били те
преднамерени или случайни, се увеличава с тревожно темпо.
Извършителите на киберпрестъпления използват все по-сложни
методи за проникване в информационните системи, като си
служат с кражби на критични данни или изнудване на
предприятия. В България рестриктивните социални и
икономически мерки, свързани със световната пандемия от
Covid-19, създадоха още по-големи предпоставки за злоупотреби
и престъпления в киберпространството. Всички тези фактори
обясняват защо то следва да бъде защитено от инциденти,
злонамерени действия и злоупотреби или заплахи.
 Услуги за защита на информационни системи,
мониторинг, превенция и неотложна помощ: широк спектър
от работещи решения, които под формата на менажирани
услуги осигуряват на клиентите, превенция и ранно известяване
за потенциални заплахи за техните информационни системи и
активи.
 Тестове за информационна сигурност и оценка на
риска: сканиране за уязвимости и експлоатирането им в
дигиталните активи на клиентите с откриване на възможните
слабости в инфраструктурата и системите, тяхното
отстраняване и последващо верифициране.
 Правни и одиторски услуги, свързани с
въвеждането на политики и процедури за управление на
информационната сигурност в съответствие с нормативната
уредба.
 Професионални консултации по НМИМИС за
повишаване на нивото на информираност и начини за справяне
с кибер заплахи на всички потребители на всички нива в една
организация.
Центърът по Киберсигурност на CyberOne предоставя
следните решения:
1. Пенетрейшън тестове - симулират реални сценарии
за атаки от злонамерени лица срещу уеб приложения и системи,
както и вътрешна и публична мрежова инфраструктура.
Процесът при провеждане на такива тестове е напълно
контролиран и се извършва по изискванията на клиента.
Пенетрейшън тестовете позволяват на организациите да
определят колко са подготвени за атаки. След края на всеки
тест се изготвя професионален доклад в който се включва
подробно описана информация, примери, снимков материал и
препоръки за отстраняване на уязвимостите. Чрез пенетрейшън
тест се постига:
 Идентифициране, верифициране и оценка на
уязвимости в мрежи и уеб приложения
 Тестване за уязвимости, които не могат да бъдат
открити с автоматизирани инструменти и методология
 Прилагане на препоръки за отстраняване на всяка
една уязвимост
 Добавяне на примери за възпроизвеждане на всяка
една уязвимост (Proof of Concept)
2. Сканиране за уязвимости - задължителен процес за
всяка една компания, която държи на своята информационна
сигурност. Услугата е задължителна част от Пенетрейшън
тестовете, но способите, които се използват са напълно
автоматизирани и не включва ръчното откриване на слабости в
системите на клиента. Уязвимостите, които се откриват са
изцяло публични и най-вече актуални, като също така се тества
и за грешки при конфигурирането на уеб приложения и
системи. При провеждането на такъв тип сканиране на
уязвимости една организация получава обща представа за
сигурността на публичната й ИТ инфраструктура. Сканирането
за уязвимости позволява:
 Идентифициране и оценка на уязвимости в мрежи и
уеб приложения
 Идентифициране на неправилни конфигурации, които
нарушават информационната сигурност
 Прилагане на препоръки за отстраняване на всяка
една уязвимост
3. SIEM системи - Security Information and Event
Management или накратко SIEM е комплексно решение за
сигурност, което предоставя богат набор от функционалности,
позволяващи наблюдение в реално време на различни логове
съдържащи събития, свързани с киберсигурността. Събитията
се обработват от правила, следящи за аномалии в системата.
SIEM решенията, които CyberOne предлага са едни от най-
популярните и с доказан успех при откриване и
предотвратяване на атаки. Такива решения също така помагат
и за предотвратяване на злонамерени действия от страна на
служители на компанията, тъй като администраторът има пълна
информация какви действия и операции се извършват.
Услугата SIEM е включена в застраховка „Кибер Лев”, която
Лев Инс предлага на микро и малки предприятия за превенция
и ранно известяване на кибер атаки, водещи до кражба на
информация, загуба на данни и др.
4. Безопасен Интернет - Услугата „Безопасен интернет“
е подходяща за лица, които работят от вкъщи, малки и средни
компании, които желаят да се застраховат срещу риска от
сърфиране в интернет. Софтуерът, който се инсталира,
предотвратява отварянето на зловредни Интернет адреси,
включително фишинг страници, незаконно съдържание,
страници съдържащи зловреден софтуер, тракери които
нарушават поверителността, сайтове съдържащи зловреден код
за злоупотреба с ресурсите на устройството, измамни сайтове и
др. Услугата „Безопасен интернет“ вече можете да получите на
промоционална цена със застраховка „Домашно
имущество“ или с иновативната пакетна
полица „Компютърна сигурност у дома“.
Изграждането на информационна сигурност в една
компания не е единично действие, а дълъг и сложен процес.
Ролята на специалистите от CyberOne е да опростят този процес
за своите клиенти. Повече информация за услугите и
възможностите на CyberOne, можете да прочетете тук .
Фрий нет
Zero days film
 Инструменти за пенетрейшън тестове
CyberMan19.07.20230 Commentsетично
хакерство,инструменти за пенетрейшън тестове,пенетрейшън
тестове,пентестове,пропуски в
сигурността,уязвимости,хакери,черни хакери
В тази статия ще ви демонстрирам списък с едни от най-
честите инструменти за пенетрейшън тестове или още
наричани пентестове на специалистите по киберсигурност.
В областта на киберсигурността тестовете за проникване
или пенетрейшън тестове играят ключова роля за
идентифициране на пропуски в защитата и щателна оценка на
състоянието на сигурността на системите и мрежите.
Инструментите за тестване за проникване са от съществено
значение за специалистите в тази област, тъй като те
предоставят необходимите възможности за симулиране на
реални атаки и разкриване на слабите места. В тази статия ще
разгледаме списък на някои от най-добрите налични
инструменти за пентестове, които предлагат разнообразна гама
от функционалности, за да подпомогнат цялостното тестване на
сигурността.
Инструменти за пенетрейшън тестове
1. Metasploit: Популярна рамка за разработване и
изпълнение на експлойти срещу целеви системи при
пенетрейшън тестове.
2. Nmap: Мощен инструмент за сканиране на мрежи,
използван за откриване на хостове, енумерация на услуги и
откриване на уязвимости.
3. Burp Suite: Интегрирана платформа за тестване на
сигурността на уеб приложения, включително сканиране,
прихващане и манипулиране на уеб трафик.
4. Wireshark: Анализатор на мрежови протоколи, който
улавя и проверява мрежовия трафик, като помага за
идентифициране на уязвимости и отстраняване на проблеми в
мрежата при пенетрейшън тестове.
 5. John the Ripper или Разбивача Джон: Този Джон не
разбива женски или мъжки сърца, а е инструмент за разбиване
на пароли, който поддържа различни формати за криптирането
им и може да се използва за проверка на силата на
потребителските пароли.
6. SQLMap: Инструмент, предназначен за
автоматизиране на процеса на откриване и използване на
пропуски в защитата за извършване на SQL инжекции в уеб
приложения.
7. Nessus: Детектор за уязвимости, който идентифицира
слабости в сигурността на мрежи, системи и приложения.
8. Hydra: Бърз и гъвкав онлайн инструмент за разбиване
на пароли, който поддържа различни протоколи, включително
FTP, SSH, HTTP и други при пенетрейшън тестове.
9. Aircrack-ng: Пакет от инструменти за изследване на
безжични мрежи, използвани за улавяне на пакети, разбиване
на WEP и WPA/WPA2-PSK ключове и изпълнение на други
задачи, свързани с WiFi.
10. OWASP ZAP: Детектор на сигурност на уеб
приложения с отворен код, който помага за идентифициране на
уязвимости и предлага функции за ръчно тестване и
автоматизация на сигурността.
11. Nikto: Скенер за уеб сървъри, който извършва
цялостни проверки за често срещани уязвимости и неправилни
конфигурации.
12. BeEF: Browser Exploitation Framework се използва за
тестване на сигурността на уеб браузърите и техните
уязвимости.
13. THC Hydra: Популярен инструмент за разбиване на
пароли с brute-force, който поддържа множество протоколи и
услуги.
14. DirBuster: Скенер за уеб приложения, използван за
проследяване на директории и файлове, който помага за
откриване на скрити важни документи и информация
при пенетрейшън тестове.
15. Maltego: Мощен инструмент за дълбоко проучване и
разузнаване, който събира и анализира информация за целите,
за да помогне за откриването на уязвимости и потенциални
входни точки за кибератака.
От съществено значение е, обаче, да се подхожда отговорно
и с подходящо разрешение, за да се гарантира, че
пентестването се извършва по етичен и законен начин. Не
забравяйте, че хакерството е незаконно, затова всеки един опит
за пенетриране на система, трябва да бъде с изключителното
знание и разрешение на създателите й.
Използвайки възможностите на тези силни инструменти за
пенетрейшън тестове, специалистите по киберсигурност могат
да подобряват самозащитата си от реални заплахи и да останат
една крачка напред в постоянно развиващия се дигитален свят.
 Metasploit: Универсалнен инструмент за пенетрейшън
тестове
В сферата на киберсигурността наличието на ефективни
инструменти е от съществено значение за идентифициране на
уязвимостите и създаване на стопроцентово ефективна
защитата. Един такъв мощен инструмент е Metasploit – широко
използван framework за етично хакерство и пентестове.
В тази статия ще навлезем и разгледаме света
на Metasploit, като ще концентрираме внимание над неговите
характеристики, предимства и решаващата му роля за защита
на организациите от киберзаплахи.
Какво представлява Metasploit?
Този инструмент е framework за пенетрейшън тестове с
отворен код, която предлага цялостен набор от инструменти и
ресурси за етично хакерство. Разработен от Rapid7,
Инструментът дава възможност на специалистите по
киберсигурност и на пентестърите да симулират реални атаки,
да идентифицират слабости на системата и да оценяват
цялостната позиция на сигурността на дадена организация.
 Функции и възможности на Metasploit:
 Разработване на експлойти:
Инструментът предоставя широк набор от експлойти, които
могат да се използват за експлоатиране на слабости в защитната
система на целеви мрежи и системи. Той предлага както
предварително подготвени експлойти, така и гъвкавост за
създаване на персонализирани експлойти, което позволява на
специалистите да тестват ефективността на мерките за
сигурност.
 Полезен товар и поетапно освобождаване:
Metasploit предлага разнообразни полезни товари и
стегери, които са компоненти, използвани за доставяне на
експлойта в целевата система. Тези полезни товари могат да
бъдат адаптирани към конкретни цели, като например
получаване на отдалечен достъп, прихващане на чувствителни
данни или установяване на устойчивост в компрометирана
система.
 Модули след експлоатирането:
След като системата е
компрометирана, Metasploit предоставя модули за последваща
експлоатация, които позволяват на пентестърите да оценят
допълнително защитата на крайната цел, да получат достъп до
различни зони в мрежата и да получат неоторизиран достъп до
ценна информация от базите данни.
 Социално инженерство:
Metasploit включва модули за провеждане на социално
инженерство, като например spear phishing или измама със
събиране на удостоверения, за да се прецени колко точно е
податлива защитната система на организацията към такъв тип
атаки.
 Интеграция и автоматизация:
Metasploit предлага мощен интерфейс за командния ред и
обширен API, което позволява безпроблемна интеграция с други
инструменти за сигурност и автоматизиране на работните
процеси за пентестване. Това позволява на специалистите по
киберсигурност да оптимизират процесите си и ефективно да
управляват мащабни проекти за тестване на защитните системи
и неоторизирано проникване в тях.
Предимства на Metasploit:
1. Цялостен framework: Инструментът предоставя
унифицирана платформа, която обхваща различни техники и
инструменти, което го прави универсално решение за цялостен
и ефективен пенетрейшън тест.
2. Редовни актуализации и база данни с
експлойти: Metasploit се ползва от голяма и активна общност,
която осигурява чести актуализации и обширна база данни с
експлойти. Тази база данни включва както публични, така и
предоставени от общността експлойти, което гарантира, че
специалистите имат достъп до най-новите вектори и начини на
атака.
3. Образователен ресурс: Metasploit предлага ценни
възможности за обучение на начинаещи специалисти по
киберсигурност. Този framework осигурява практическа среда за
разбиране на различните видове тактики и методи, и
процедурите, използвани от черните хакери, което позволява
на специалистите да се защитават по-добре от реални заплахи.
4. Законова и етична употреба: Metasploit е разработен
изрично за целите на етичното хакерство и провеждане на
контролирани и регламентирани пенетрейшън тестове. Този
фреймуърк позволява на организациите да идентифицират
пропуски в защитата си и да прилагат надеждни мерки за
сигурност, за да защитят своите системи и бази данни от
неоторизиран достъп с цел негативна експлоатация.
 Киберсигурност

Киберсигурността става все по-неизменима част от бизнес

процесите на всяка една компания с всяка изминала година.
Независимо дали оперирате със критична информация или не,
вашата компания може да бъде обект на целенасочена или
случайна атака от т.нар хакери. Изграждането на напълно
киберсигурна компания не е възможно, но ние от ИТ Уизърдс
можем да ви помогнем да сведете риска от това да бъдете
компрометирани чрез голям набор от услуги, които обхващат
почти всички действия от страна на на злонамерените лица.
Изграждането на информационна сигурност във Вашата
компания не е единично действие, а дълъг и сложен процес.
Нашите специалисти ще се опитат да опростят този процес за
Вас.

Защо ви е нужно?
Ние смятаме, че всяка една компания трябва да провежда
поне веднъж в годината тестове за уязвимости или пенетрейшън
тестове.
 Цената на това да бъдете защитени винаги е била в пъти
по-ниска от всички други разходи и загуби, когато ви
компрометират.
Нашите решения са насочени в два спектъра - Офанзивна
киберсигурност и Дефанзивна киберсигурност
При офанзивната киберсигурност Вие ще имате
възможност да изпълните напълно реална хакерска атака в
контролирана среда. Методите, които нашите специалисти по
информационна сигурност използват са абсолютно същите,
които се прилагат от всички злонамерени хакери. Услугата
Тестове за уязвимости предлага напълно автоматизирани
решения за получаване на базова информация относно
състоянието на инфраструктурата Ви от гледна точка на това
колко е защитена. От друга страна услугата 'Пенетрейшън
тестове' има за цел да обхване голям набор от напълно
реалистични хакерски сценарии. При тази услуга се правят
реални опити за установяване на пробив в дадена система,
независимо дали става въпрос за уеб приложения, портали,
вътрешни или публични мрежи. След края на всяка една от
врете услуги Вие ще получите подробен доклад, който е изграден
по световни методологии за писането на доклади по
информационна сигурност. Примерен доклад от пенетрейшън
тест може да намерите ТУК

При дефанзивната киберсигурност се налага друг

подход, чрез който се имплементират други решения, които да
предпазват цялата ИТ инфраструктура и персонал.
 Киберсигурност
 Wireless IDS софтуер
 Цялостен мониторинг
 Тестове за уязвимости
 Firewall решения
 SIEM решения
 Пенетрейшън тестове
 WAF решения
 Пенетрейшън тестове

Услугата ни се разделя на 2 основни части, като следва:

Уеб пенетрейшън тест - тестването съчетава както
ръчни, така и автоматизирани способи за откриване и
експлоатиране на уязвимости. Първоначално се очертава обхват
на тестовете, като това служи за предотрватяване на проблеми с
активни услуги, както и критична инфраструктура.

Мрежови пенетрейшън тест - тестването съчетава както

ръчни, така и автоматизирани способи за откриване и
експлоатиране на уязвимости. Обхватът на тестовете се
предоставя от вашата компания, като в зависимо от това дали
желаете външен или вътрешен мрежови пенетрейшън тест,
може и да се наложи да се ползва VPN връзка с вашата мрежа.

Защо ви е нужно?
С нашата услуга можем да ви дадем пълна оценка на
вашата информационна сигурност, като може да се запознаете
и с реални сценарии, при които може да се осъществят пробиви
във вашата ИТ инфраструктура. Друг плюс при пенетрейшън
тестовете е че може да получите адекватна оценка на това,
колко е възможно злонамерени служители да използват
недостатъците в информационните ви системи за да
компрометират компания.
Услугата включва няколко етапа:
 Етап 1: Разузнаване и събиране на информация
 Етап 2: Сканиране
 Етап 3: Получаване на достъп
 Етап 4: Ескалация на привилегиите

Освен етапите на тестване, хубаво е да знаете и отделните

типове тестове:

 Black Box тест - Не се предоставя информация относно

системите или платформите, които са част от обхвата.
Извършва се пълният етап от разузнаване и събиране на
информация. Специалистите ни избират собствена стратегия, с
която да подходят при изпълнението на тестовете.
 Gray Box тест - Компанията предоставя информация
относно системите или платформите, които са част от обхвата.
Ако е нужно се предоставят и инициали за вход към системата,
ако тя не е предназначена за всички интернет потребители.
Извършва се частично разузнаване и събиране на информация.
Специалистите ни се допитват до вас за специфичен подход, с
който да се извърши изпълнението на тестовете.
 Пенетрейшън Тестове
Пенетрейшън тестовете, известни още като тестове за
проникване или "pen tests", са ключов инструмент за оценка на
сигурността на информационната система на организация. Те
представляват симулирани атаки срещу системите,
приложенията и мрежовите устройства на организация, с цел да
се открият и анализират уязвимостите, преди това да бъде
направено от злонамерени атакуващи. Тази услуга е от
съществено значение за всички организации, които искат да
защитят своите данни, системи и потребители от потенциални
кибератаки.
Процесът на пенетрейшън тестове обикновено включва
следните етапи:
1. Планиране и Подготовка: На този етап се определят
целите на теста, обхватът на системите, които ще бъдат
тествани, и методологията, която ще бъде използвана. Също
така, на този етап се получават всички необходими разрешения
и се подписват съответните договори.
2. Разузнаване: Това е процесът на събиране на колкото
се може повече информация за целевата система, за да се
идентифицират възможни точки на проникване. Това може да
включва събиране на информация от обществено достъпни
източници, анализ на мрежовата структура, идентификация на
службите и портовете, които са отворени, и др.
3. Оценка: На този етап се извършва активно тестване
на целевата система, за да се идентифицират потенциални
уязвимости. Това може да включва атаки срещу пароли,
експлоатация на известни уязвимости, атаки срещу уеб
приложения, и т.н.
4. Извършване на Атаки: След като са
идентифицирани потенциални уязвимости, екипът за тестване
на сигурността извършва реални атаки срещу системата, за да
определи дали те могат да бъдат експлоатирани и колко далеч
може да стигне атакуващият.
5. Анализ и Докладване: Накрая, се подготвя доклад,
който включва подробен анализ на откритите уязвимости,
данните, които са били достъпени или компрометирани,
препоръки за подобряване на сигурността и др.
Целта на пенетрейшън тестовете е да помогнат на
организациите да идентифицират и отстранят уязвимостите в
своите системи, преди те да бъдат експлоатирани от
злонамерени атакуващи. Това е важна част от стратегията за
информационна сигурност на всяка организация
 Тестване за проникване в мрежата

Тестът за проникване в мрежата има за цел да

идентифицира и използва уязвимости в мрежови устройства,
хостове и други системи. Тестът симулира дейностите на
злонамерен хакер. С други думи, целта на теста е да разкрие
уязвимости, позволяващи на неоторизиран потребител да
открадне поверителни данни или да поеме контрола на
фирмените системи за злонамерени цели.
По време на теста SoCyber изпитва защитата на рутери,
суичове, защитни стени, IPS / IDS устройства, VPN, сървъри,
антивирусни системи и др.
В допълнение тестовете за проникване в мрежата, които
SoCyber извършва разкриват уязвимостите както от гледната
точка на хакерите, така и от тази на специалиста по мрежова
сигурност.
Когато се ползват уеб и мобилни приложения, тестът за
проникване на уеб приложения и тестът за проникване на
мобилни приложения също могат да бъдат полезни за
компанията.
Методология
 Methodology
 Layer 2 Attacks
 VLAN Hopping
 ARP Cache Poisoning
 Switch Architecture Weaknesses
 Layer 3 Attacks
 IP Redirections
 Session Hijacking
 Session Replay
 Network / OS Layer Attacks
 Network Hash Passing
 DHCP and DNS Weaknesses
 Various OS Weaknesses
  Advanced Attacks
 Protocol Fuzzing
 Cryptographic Weaknesses
 Buffer Overflow
 Zero-day

Категории
Тест за проникване от външна мрежа
По време на теста експертите се опитват да открият
проблеми със сигурността от външната страна на вашата
мрежа, обикновено през публичния интернет.
Тест за проникване от вътрешна мрежа
Тестът се извършва чрез поставяне на експерт във вашата
корпоративна среда и осигуряване на връзка с вашата
вътрешна мрежа, за да търси проблеми със сигурността отвътре.
По този начин вътрешният тест за проникване изследва
ресурсите, които са достъпни за всеки вътре в периметъра на
защита.
 КАКВО Е ТЕСТ С/У ПРОБИВ (PENETRATION TEST)?
 ноември 12, 2019
Тестът с/у пробив (penetration test, pen test) известен още
като етично хакерство е практика за тестване на компютър,
мрежа или уеб приложение като целта е да се намери
уязвимости в сигурноста, които може да се използват за
неоторизиран достъп. Тестът може да бъде автоматизиран чрез
специални приложения или ръчен. Той е цял процес, който
вклюва в себе си: събиране на информация на проверявания
обект, идентифициране на възможните портове, опит за влизане
(виртуален или реален) и докладване на резултатите.
Основната цел на теста с/у пробив е откриване на слабости
в ИТ сигурноста. Той също може да бъде ползван за тестване на
цялостната политика по ИТ сигурност на дадена организация,
дали покрива нужните стандарти, дали нейните служители имат
нужната квалификация за ИТ сигурност и възможноста да
идентифицират инциденти, касаещи ИТ сигурноста на самата
организация.
Обикновено за информацията за слабостите по ИТ
сигурноста пряко отговорни са системни администратори и
менаджерите по управление на мрежите.
Резултатите от тези тестове са важни за организацията. Тя
може да вземе решение по приоритетите си в разрешаване на
открити слабости в ИТ сигурноста. Тези резултати помагат и на
програмистите, които разработват уеб приложения. Ако знаят
как хакерите атакуват, то ще могат да защитят по-добре своите
разработки и да минимизират грешките в бъдеще.
КОЛКО ЧЕСТО ТРЯБВА ДА СЕ ПРАВИ?
Този тест трябва да се прави поне веднъж годишно или
веднага след:
 Добавяне на нова ИТ инфраструктура или внедряване
на нови уеб приложения в компанията
  При сериозен апгрейд на съществуваща ИТ
инфраструктура или уеб приложения.
 Отваряне на нови офиси
 Промени в ИТ сигурноста
 Промени в политиката с крайни клиенти
Какво трябва да знаем още?
Няма универсално правило за всички компании. Има
няколко фактори, които са важни за провеждане на такъв тест.
 Размер на компанията. Големите компании са
атрактивни за кибератака. Имат много уязвими звена.
 Скъпи са. Компании с ограничен бюджет за ИТ
сигурност е вероятно да не могат да си го позволят ежегодно.
 Закони и наредби. Компании в определени бизнеси
области по закон са задължени да спазват и изпълняват
определени дейности касаещи IT сигурност, включително тест
с/у пробив.
 Ако цялата инфраструктура на дадена копмпания е в
облака, то със сигурност на нея няма да й бъде разрешено да
извърши такъв тест в/у инфраструктурата на доставчика на
облачна услуга. Такива тестове обаче е длъжен да прави самия
доставчик на облачната услуга.
Ето защо цялата процедура по теста трябва да бъде
организирана специфично за самата компания като се вземе
под внимание големината и бизнес областа й, в която развива
дейност,
СРЕДСТВА ЗА ТЕСТ С/У ПРОБИВ
Специалистите често ползват автоматизирани средства за
откриване на уязвимости. Софтуерът за тест п/в пробив
обикновено сканира кода на приложенията като целта му е да
намери зловреден код, който може да причини пробив в
сигурноста. Тестът п/в пробив анализира начина на криптиране
на данните, анализира паролите и др.
Тези средства трябва да бъдата:
 Лесни за инсталиране и ползване
  Лесно да сканират системата
 Да може да категоризира степента на заплаха на
откритите проблеми. Тези, които не търпят отлагане, трябва да
се разрешат веднага.
 Проверката за уязвимост трябва да се автоматизира.
 Да може да се проверява стари уязвимости
 Да може да генерира подробни доклади след
првоерка.
Много от тези средства са с отворен код приложения, те
дават възможност на хората, които извършват тези тестове да
ги нагласят за специфичните си нужди и
изисквания. Metasploit Project, Nmap (Network
Mapper), WireShark, Jack the Ripper.
Част от тези софтуери се ползват от истинските хакери.
СТРАТЕГИИ
Основен момент в извършването на такъв тест е да се
определи първоначално мащаба на теста. Мащабът се определя
от какви машини, локации, техниките и средствата, които ще се
ползват. Ограничавайки мащаба на теста позволява да се
изгради по-добър фокус. Стратегиите могат да бъдат:
 Целеви. Извършват се от ИТ отдела на самата
компания.
 Външни. Тестват се сървърите, мейли, домейни на
компаният отвън. Опит да се намерят пропуски за достъп
отвън.
 Вътрешни. Вътрешна атака на потребител с редовни
права. Измерва каква вреда може да причини недобросъвестен
служител на компанията.
 Сляп тест. Дават се съвсем малко данни за
компанията на външен специалист, който да извърши този тест
„на сляпо“. Често пъти данните са само име на компанията.
 Двойно-сляп тест. Това е „сляп тест“, но в
проверяваната компания само тесен кръг от хора знаят за
провеждането на теста.
  Тест черна кутия. Вид сляп тест, но проверяващия
не получава никаква информация преди започването на теста.
 Тест бяла кутия. Вид сляп тест. Дават повече
информация на проверяващия като име, мрежа, IP адреси,
мрежови протоколи и др.
Информацията, която този тест дава е важна за IT екипите
за сигурноста за цялата фирма.
 ият бизнес е да защитаваме вашия

// НАКРАТКО ЗА НАС
Експертиза и качество
Ние обединяваме задълбочени експертни познания в
индустрията и най-новите технологични постижения, за да
доставим персонализирани решения и продукти, които напълно
отговарят на нуждите, възможностите и размера на нашите
клиенти.

// ВРЕМЕ Е ЗА СИГУРНОСТ НА ВАШИЯ БИЗНЕС

 Ние сме вашият доверен партньор
CYBERONE е избраният партньор за много от водещите
български предприятия, като също така ни се доверяват и
компании от Европа. Ние помагаме на бизнеса да повиши
сигурността си чрез внедряване на актуални решения за
киберсигурност, управление на сигурността, пенетрейшън
тестове, обучения и консултантски услуги.
Ние можем да ви помогнем да подобрите цялостното
ниво на сигурност на вашата компания, чрез 3 различни
подхода – превенция, защита или съответствие.
 / ТЕСТОВЕ ЗА СИГУРНОСТ НА УЕБ ПРИЛОЖЕНИЯ И
УЕБ УСЛУГИ
Уеб пенетрейшън тест
Тази услуга е комбинация от автоматизирано и ръчно
тестване (нашата политика е да приоритизираме второто).
Основната цел на провеждането на такъв тип услуги е
проактивното откриване на слабости в информационната
сигурност и уязвимости в една организация.
Начинът на протичане на тази услуга е както следва:
1. Провежда се разузнаване, за да се идентифицира
услугите, технологиите, включително техните версии, начин на
конфигуриране и работа.
2. Извършва се първоначално автоматично сканиране за
уязвимости с минимум 2 популярни скенера като Acunetix и
Netsparker.
3. Резултатите от автоматично сканиране, както и
откритията на нашите специалисти биват проверени и
събраната информация бива използвана за последващи
действия, с които се цели добиване на достъп по един или друг
начин.
4. Извършва се цялостна проверка на сигурността на
приложенията в договорения обхват, като се използва наш
чеклист от проверки и методи за откриване на уязвимости,
съобразени със световни стандарти, както и добри практики.
5. Прави се опит за ескалиране на достъп, посредством
намерените уязвимости.
6. Изготвя се финален доклад, в който се включва
подробна информация за всички намерени уязвимости, както и
препоръки за отстраняване, референции и др. В доклада се
включва и секция, предназначена за мениджмънт хора, в която
е подробно описано всичко с възможно по-малко технически
език и терминология.
7. След договаряне на срок за отстраняване, клиентът
има възможност да получи ретест на договорения обхват в
рамките на 6 месеца от провеждане на първоначалните
тестове напълно безплатно.
8. Изготвя се повторен доклад за резултатите от ретеста.
Нашата методология за извършване на пенетрейшън
тестове е съобразена с водещи такива, като задължително
включва следните фази:
Фаза 1: Разузнаване
Фаза 2: Сканиране
Фаза 3: Получаване на достъп
Фаза 4: Ескалация на привилегиите
Видове уеб пенетрейшън тестове, спрямо нивото на
достъп:

 Black box тест
 Не е необходима предварителна информация за
технологиите или точният обхват на дадена компания. Не е
нужно да се предоставя никакъв достъп до даденото
приложение или система. Резултатите са съобразени спрямо
първоначалния достъп, с който нашите специалисти са
разполагали.
 Gray box тест
 Възможно е предоставяне на частичен достъп от
страна на клиента за приложенията в обхвата. Предоставя се
частична информация за технологии и инфраструктура на
приложенията в обхвата. Препоръчително е да се използва този
подход при бизнес приложения, както и приложенията, които се
използват само от хора с предварително даден достъп.

// ТЕСТОВЕ ЗА СИГУРНОСТ НА МРЕЖИ И УСЛУГИ

Мрежови пенетрейшън тест
 Мрежовите пенетрейшън тестове обследват сигурността на
вътрешните и публичните мрежи на една организация, както и
прилежащите услуги. Услугата е препоръчителна за компании,
които имат голям обхват от публични услуги и налични
публични IPv4 адреси. Друг тип компании, за които тази услуга
би била полезна, са такива, които имат големи вътрешни мрежи
с множество услуги и важна информация.
Както уеб пенетрейшън тестове, така и мрежовите тестове
за проникване имат 2 подразделения.
// Вътрешен мрежови пенетрейшън тест
При тази услуга, нашите специалисти получават достъп до
вътрешна мрежа на компанията посредством VPN или
физически. Опитите за проникване включват голям набор от
проверки за неправилна конфигурация на вашите услуги,
недостатъчно усилия за подобряване на сигурността, наличие на
публично известни уязвимости, както и много други проверки,
които се извършват от специалисти, а не просто софтуер за
сканиране за уязвимости (vulnerability assessment).
Една от целите на тази услуга е нашите специалисти да
открият възможно повече пропуски в сигурността на всички
вашите услуги и системи и те да бъдат отстранени
предварително. Друг аспект, който повечето компании
пропускат е, че понякога самите служители са основния рисков
фактор за сигурността. Ние се опитваме да проиграем възможно
сценарии, които биха могли да покажат нагледно как т.нар
злонамерени служители (rogue employees) могат да
компрометират сигурността на вашата компания.
Тестовете, които провеждат нашите специалисти се
съсредоточават и върху рисковете от това неоторизирани лица
да се „разпространяват във вашата мрежа“, използвайки
инициали за достъп на служители, които вече са били
компрометирани или други уязвимости.
// Външен мрежови пенетрейшън тест
 Голяма част от организациите имат множество публични
сървъри, услуги и системи, които биват достъпвани, както от
служители, така и от клиенти и партньори. Услугата за тестване
на сигурността на публични ИТ активи се фокусира върху
обследването на следните неща:

 Откриване на крайни точки, домейни и събдомейни
 Идентифициране на услуги, портове, технологии,
версии, доставчици на услуги
 Сканиране за портове и тяхната конфигурация в
защитната стена
 Идентифициране на услуги и техните версии и
конфигурация
 Автоматизирано тестване спрямо всички публични и
налични уязвимости
 Ръчно откриване на уязвимости
 Верификация на откритите уязвимости
 Експлоатация на откритите уязвимости, посредством
публични или частни експлойти
 Използване на специфични или авторски скриптове за
експлоатиране на уязвимости или недостатъци в сигурността
 Ескалиране на достъпа, чрез компрометирани
инициали или ключове за достъп
Както вътрешния пенетрейшън тест, така и външният се
извършват посредством наш чеклист, който е разработван с
години и е доказано, че води до добри резултати.
При всяка услуга, която има уеб интерфейс се извършват
тестове, които се препокриват с тези на уеб пенетрейшън теста,
предвид факта, че много услуги в днешно време използват уеб
среда, която е предназначена за потребителя.
Подобно на уеб пенетрейън тестовете, след завършване се
издава подробен доклад, който включва следните точки:

  Резюме (подробно описание на откритията и
заключенията, с възможност за използване възможно по-малко
технически език и терминология.)
 Събиране на информация
 Оценка на риска
 Методология
 Обхват и цели
 Чеклист, спрямо вида на услугата
 Всяка намерена уязвимост, с пълно описание,
референции, снимков материал, инструкции за отстраняване.
 Позитивни характеристики и заключения
 Препоръки (биват в 3 категории, спрямо откритията
по време на теста – краткосрочни, средносрочни и дългосрочни)
 Пенетрейшън тестове
Тестовете за проникване симулират реални сценарии на
злонамерени атаки срещу уеб приложения и системи, както и
вътрешна и публична мрежова инфраструктура.
 Пенетрейшън Тестове (Penetration Tests)
Въведение

Този документ представлява описание на термина

„пенетрейшън тест“ (penetration test) и е насочен към
запознаване на заинтересуваните страни с целите и ползите от
подобен тест в тяхната организация.

Какво означава пенетрейшън тест?

Пенетрейшън тест е реалната, практическа гледна точка на

външно лице, което се опитва да заобиколи мерките за
информационна сигурност, прилагани в дадена организация, с
цел установяване на уязвимости в информационната среда.
Тези уязвимости могат да бъдат от всякакво естество – от
физическото разположение или архитектура на
информационната инфраструктура, през конфигурацията на
различните информационни активи (сървъри, мрежови
устройства, потребителски станции), до различни слабости в
приложенията/програмите, които се използват в организацията.

Резултати

Резултатът от теста включва описание на проведените

атаки, средствата използвани за целта, откритите уязвимости и
слабости, както и препоръки за тяхното отстраняване. Всичко
това се предоставя под формата на доклад към организацията,
в която е проведен пенетрейшън тестът.

Ограничения

Под внимание трябва да бъде взет фактът, че пенетрейшън

тестът е актуален за ограничен период от време. В този смисъл
той представлява “снимка” на текущото ниво на сигурност на
системите в организацията и не трябва да бъде възприеман
като пълен одит на информационната сигурност. Пенетрейшън
тестът е ограничен по обхват – включва ограничен брой системи
и процеси. Слабости в нетествани системи не могат да бъдат
идентифицирани. С цел осигуряване на максимална защита
срещу зловредни атаки, е необходимо тези тестове да бъдат
извършвани регулярно. Това намалява риска от
компрометиране на системи посредством новооткрити
уязвимости или нови типове атаки.

Типове пенетрейшън тестове

Тестът може бъде осъществен с различна степен на
„предварително запознаване“ със системите на организацията:

- Тест „черна кутия“ (black-box testing), където

предварителната информация често е само името на
организацията. Работа на тестващите лица е сами да установят
обхвата на информационната инфраструктура, да открият
критични активи или приложения и да подготвят план за
тяхната „атака“.

- Тест „сива кутия“ (grеy-box testing), където на тестващите

лица е предоставена определена информация за
информационната инфраструктура, например IP range или
разположение на критичните активи.

- Тест „бяла кутия“ (white-box testing), където тестващите

лица работят в тясна връзка със специалистите на тестваната
организация и разполагат с цялата информация за вътрешната
архитектура, използваните технологии и ресурси, разположение
на критичните активи и др. Понякога на тестващите лица са
предоставени дори потребителски акаунти за дадени
приложения, с цел максимално подробен и задълбочен тест.
 Тестът може да бъде с различен обхват:

- Тест на информационната инфраструктура (сървъри,

потребителски станции);

- Тест на приложенията/програмите, използвани в

организацията;

- Тест на уеб-приложения, които са достъпвани от

глобалната мрежа и често са основен вектор на атака за една
организация;

- Тест на вътрешната мрежа на организацията (суичове,

рутери, мрежови протоколи и т.н.);

- Комбинация от горните тестове.

Тестът може да установи различни слабости или

уязвимости, например (но не ограничени до):

- Непачнати или неъпдейтнати софтуерни системи от

всякакъв вид – операционни системи, бази данни, уеб сървъри,
популярни приложения и др.;

- Използването на остарели и несигурни софтуерни системи

– определени версии на операционни системи и/или конкретна
тяхна имплементация и конфигурация;

- Недобра конфигурация на приложения и системи, най-

често водеща до твърде висока степен на „откритост“ –
позволяване на достъп на неоторизирани лица или ненужно
висок достъп на оторизирани лица;