Целью выполнения внутреннего тестирования является попытка несанкционированного доступа к защищаемой информации и сервисам Заказчика «изнутри», исследование перспектив развития подобных атак. Услуги на данном этапе заключаются в моделировании действий потенциального внутреннего злоумышленника:
- Не являющегося зарегистрированным пользователем ЛВС и не имеющего доступа к информационным ресурсам предприятия, но имеющего доступ в контролируемую зону, в пользовательский сегмент (фактически имеющего возможность подключения к порту Ethernet ЛВС предприятия) - «Черный ящик»;
- Являющегося зарегистрированным пользователем, осуществляющим доступ с рабочего места - «Серый ящик».
Состав услуги
- Сбор сведений о ЛВС Заказчика изнутри сети;
- Определение типов и версий устройств, ОС, сетевых сервисов и приложений по реакции на внешнее воздействие;
- Моделирование атак на сетевом уровне;
- Проверка корректности сетевой сегментации, но не более, чем с тремя перестановками хоста исследователя между сегментами сети;
- Идентификация уязвимостей рабочих станций пользователей, компонентов информационных систем, сетевого оборудования и сетевых средств защиты;
- Моделирование атак на уровне приложений, сетевых сервисов и ОС, с использованием специализированных средств и сведений об известных уязвимостях в отношении выявленных систем.
Отчет
Результаты предшествующих услуг оформляются в детальный отчет, содержащий перечень проверенных систем и/или границы услуг, описание и результаты выполненных проверок (включая свидетельства успешных эксплуатаций уязвимостей), а также рекомендации по их устранению.
Отчет содержит:
- Перечень проверенных систем и/или границы услуг;
- Оценку критичности выявленных уязвимостей и ошибок конфигурации обнаруженных систем;
- Детализацию используемых векторов атак и методов эксплуатации выявленных уязвимостей (включая свидетельства успешных эксплуатаций уязвимостей);
- Описание рисков выявленных уязвимостей для организации;
- Рекомендации по устранению выявленных уязвимостей;
- Другую ценную информацию о проведенном аудите.
