Целью проведения социально-инженерного тестирования является оценка осведомленности сотрудников в вопросах информационной безопасности
Состав услуги
Социально-инженерное тестирование включает в себя:
- Получение списка адресов сотрудников для исследования;
- Согласование сценариев атак, типовых шаблонов писем и полезной нагрузки;
- Согласование формата фишингового сайта и иных инструментов, применяемых в исследовании;
- Проведение серии атак;
- Формирование заключения о степени подготовленности пользователей и результативности социальной инженерии.
Тестирование сотрудников предприятия осуществляется в зависимости от определенного заказчика метода:
- Социальная инженерия может быть использована как часть внешнего/внутреннего тестирования на проникновение (данные, полученные в результате тестов, могут быть использованы в рамках внешнего/внутреннего теста на проникновение). Данный метод подразумевает проработку легенды, выбор оптимальных каналов проведения атаки на усмотрение Исполнителя исходя из данных, полученных на различных этапах теста на проникновение (перед началом услуг план согласуется с Заказчиком). При этом целью социального тестирования является получение данных для проникновения к целевым системам заказчика;
- Социальная инженерия используется только как метод оценки осведомленности сотрудников в вопросах информационной безопасности, в этом случае будут собраны статистические данные о реакции сотрудников на различные сценарии атак (развитие атаки при этом не осуществляется). Данный метод подразумевает проведение социотехнического исследования, в котором целью является определение реакции сотрудников Заказчика на те или иные методы воздействия со стороны потенциального злоумышленника.
Отчет
Результаты предшествующих работ оформляются в детальный отчет, содержащий перечень проверенных систем и/или границы услуг, описание и результаты выполненных проверок (включая свидетельства успешных эксплуатаций уязвимостей), а также рекомендации по их устранению.
Отчет содержит следующие элементы:
- Перечень проверенных систем и/или границы услуг;
- Оценку критичности выявленных уязвимостей и ошибок конфигурации обнаруженных систем;
- Детализацию используемых векторов атак и методов эксплуатации выявленных уязвимостей (включая свидетельства успешных эксплуатаций уязвимостей);
- Описание рисков выявленных уязвимостей для организации;
- Рекомендации по устранению выявленных уязвимостей;
- Другую ценную информацию о проведенном аудите.
