1. Планирование работ
2. Сбор информации о целевых системах
3. Сканирование (идентификация угроз)
4. Документирование и анализ уязвимостей
5. Отчет и рекомендации
6. Тестирование после устранения уязвимостей
Проверка внешних сетей и систем
- Тестируем доступные снаружи сетевые ресурсы и системы обеспечения информационной безопасности
- Ищем в них уязвимости, которые могут служить точкой доступа во внутренние сети и способствовать дальнейшему развитию атак
- Оцениваем критичность выявленных уязвимостей и разрабатываем рекомендации по их устранению
Объекты тестирования
Серверы, службы с доступом из Internet (FTP, SSH и т.д.), приложения.
Инструменты
Средства сетевого сканирования и анализа приложений и служб. Ключевые: Nessus, OpenVAS.
Тестирование внутренних систем и сервисов
- Идентифицируем уязвимости информационных активов компании.
- Проводим тестирование внутри периметра сети, позволяющее обеспечить более глубокий анализ.
- Анализируем системы, доступные из внутренней сети, а также критически важные активы с доступом из Internet (DMZ).
- Тестируем восприимчивость информационных систем организации к распространению атак в случае компрометации защиты периметра.
Объекты тестирования
Внутренние серверные системы, рабочие станции пользователей, сетевые службы и прочее.
Инструменты
Автоматизированные средства сетевого сканирования. Ключевые: Nessus, OpenVAS, Nmap.
Тестирование интернет-приложений
- Тестируем веб-приложения (веб-сайты) с целью идентификации и анализа уязвимостей ресурсов.
- Подробно анализируем: сетевое взаимодействие, настройки ОС, механизмы авторизации и аутентификации, серверные и клиентские компоненты и прочее.
Объекты тестирования
Web-порталы, сайты, интерфейсы администрирования служб и сервисов, внешние Web-интерфейсы CRM или ERP систем.
Инструменты
Средства сканирования WEB-ресурсов, в том числе автоматизированные утилиты и ручные методы. Ключевые: Burp Suite, Arachni, DirBuster, Nessus, Nikto, WPScan, OwaspZAP.
Перечень реальных уязвимостей вашей сетевой инфраструктуры и определение уровня их критичности для общей информационной безопасности
Возможность эффективно распределять средства на совершенствование системы защиты информационных активов
Возможность оперативно принять корректирующие и превентивные меры
Уверенность в защищенности информационных активов компании
