Testowanie zabezpieczeń (pentest)

Ogólne informacje o testowaniu zabezpieczeń

Testy penetracyjne zapobiegają stratom ekonomicznym i wizerunkowym poprzez weryfikację lub stworzenie skutecznego systemu ochrony informacji firmowych.

Podczas testów ujawniane i sprawdzane są podatności w systemie, które mogły powstać w wyniku błędów programowych i technicznych, nieprawidłowej konfiguracji, niedociągnięć operacyjnych itp. Ponadto testy pozwalają jasno pokazać wykryte luki i znaczenie potencjalnych strat dla firmy klienta.

Wyniki zamówienia usługi pentestu:

Uogólnione informacje o aktualnym poziomie bezpieczeństwa systemów informatycznych.
Wykaz ujawnionych usług i komponentów.
Wykaz ujawnionych i ocenionych (pod względem poziomu ryzyka) podatności systemów informatycznych.
Weryfikacja możliwości wykorzystania podatnych na ataki aplikacji roboczych.
Zalecenia dotyczące eliminacji ujawnionych podatności.
Zrozumienie sposobów i priorytetów poprawy bezpieczeństwa aplikacji.

Etapy testu penetracyjnego

Etap wstępny

Wyniki etapu:
● Utworzenie i zatwierdzenie grupy roboczej
● Określenie i zatwierdzenie zakresu i parametrów testów, możliwego ryzyka i ograniczeń, harmonogramu prac, zasad komunikacji

Zbieranych danych z otwartych źródeł informacji (pasywne zbieranie informacji)

Wyniki etapu:
Przeprowadzenie nieinteraktywnej analizy infrastruktury, która ma być testowana. Zebranie i usystematyzowanie informacji o tej infrastrukturze pochodzących z otwartych źródeł. Zakończenie przygotowań do etapu aktywnego zbierania informacji.

Aktywne zbieranie informacji

Analiza instrumentalna zabezpieczeń zewnętrznych warstw sieci według zakresu adresów IP:
● Określenie zasobów
● Określenie podatności
● Analiza podatności
● Wykonanie prób dostępu (testowanie podatności)

Analiza wyników i opracowanie raportu

Wyniki etapu:
Sporządzony raport zawierający ujawnione podatności, wyniki i dowody weryfikacji aktualności podatności oraz zalecenia dotyczące zarządzania ryzykiem związanym z ujawnionymi podatnościami.

Przedstawienie i omówienie wyników

Rodzaje testów

Test symuluje działania przestępcy, który ma dostęp do wewnętrznej sieci firmy, i pozwala określić, jakiego stopnia szkód potencjalny przestępca może dokonać w infrastrukturze informatycznej.

● Zbieranie wszelkich informacji o poddawanemu testowi obszarze metodami OSINT (Open Source Intelligence)
● Wykorzystanie zautomatyzowanych systemów zbierania informacji, narzędzi skanujących i inwazyjnych metod wywiadowczych
● Imitacja działań przestępcy za pomocą narzędzi do wykorzystywania podatności (exploitów), dokonywanie ataków i inne działania
● Zwiększanie uprawnień, wykrywanie możliwości rozszerzenia zakresu ataku, uzyskiwanie dostępu do danych innych użytkowników, zapewnianie sobie trwałego dostępu do systemu
● Raport zawierający bezpośrednią ocenę bezpieczeństwa, ocenę zagrożeń i podatności oraz zalecenia dotyczące ich eliminacji

Testowanie bezpieczeństwa aplikacji internetowych to symulacja ataku przeprowadzana przez naszych wysoko wykwalifikowanych konsultantów ds. bezpieczeństwa.

● Testowanie ręczne związane z metodologią OWASP
● Seria zautomatyzowanych skanów w poszukiwaniu podatności
● Natychmiastowe powiadomienie o wszelkich krytycznych podatnościach
● Ocena poziomu ryzyka dla Twojej organizacji
● Szczegółowy raport określający i wyjaśniający podatności (uszeregowane według istotności)
● Wykaz zalecanych środków zaradczych eliminujących ujawnione podatności

Testowanie bezpieczeństwa aplikacji mobilnych to szczegółowa analiza bezpieczeństwa Twojej aplikacji za pomocą telefonu lub tabletu. Stosujemy ręczne testowanie przez doświadczonych specjalistów ds. bezpieczeństwa, by ujawnić znacznie więcej problemów niż testy automatyczne.

● Analiza aplikacji mobilnej z wykorzystaniem listy OWASP Mobile Top 10 w połączeniu z własnymi metodologiami testowania
● Wykrywanie błędów kodu, oprogramowania, konfiguracji usług, niebezpiecznych ustawień i wad systemu operacyjnego
● Podsumowanie wyników testów i raport

Testy penetracyjne sieci bezprzewodowych przeprowadzane są w celu ujawnienia podatności w aktualnej architekturze bezprzewodowego segmentu systemu informatycznego i poszczególnych elementach tej architektury. Umożliwiają wykrywanie możliwych do wykorzystania podatności w sieciach bezprzewodowych, systemach, hostach i urządzeniach sieciowych, zanim będą mogli je wykryć hakerzy.

● Sprawdzanie sieci bezprzewodowych klienta
● Szczegółowa analiza cech i funkcji
● Przeprowadzanie ataków na systemy uwierzytelniania i autoryzacji w sieciach
● Przeprowadzanie ataków na sprzęt sieciowy
● Przeprowadzanie ataków na klientów sieciowych

Testy penetracyjne oparte na technikach społecznych mają na celu symulowanie ataków, których dokonują inżynierowie społeczni chcący zaszkodzić Twojej firmie. Korzystamy z szeregu metod obejmujących wszystkie sposoby łączności telefonicznej, interakcji online, a także bezpośrednio na miejscu.

● Staranne testowanie na styku z siecią Internet w czasie rzeczywistym i na miejscu
● Szczegółowe zalecenia w zakresie raportowania i łagodzenia skutków
● Poufne wyjaśnienia obejmujące metody, źródła i ataki krok po kroku, dające Twojej firmie wiedzę, co robione jest dobrze, a gdzie potrzebna jest poprawa
● Szkolenia przeprowadzamy na miejscu lub w lokalizacji zgodnej z życzeniem klienta

Testowanie odporności na ataki DDoS to weryfikacja odporności systemów informatycznych na ataki mające na celu zakłócenie dostępu do informacji. W ramach testów nasz zespół tworzy sieć serwerów wirtualnych (botnet) rozmieszczonych w różnych częściach świata. Zarządzanie siecią i uruchamianie symulacji ataku odbywa się za pomocą technologii C&C.

Firma IT Specialist posiada wybitnych specjalistów w dziedzinie testowania penetracyjnego

Masz pytania dotyczące testów penetracyjnych? Napisz do nas, a z przyjemnością udzielimy odpowiedzi i konsultacji!