Informatyka i Telekomunikacja

łącza

Doradztwo logistyczne

terminal

Zarządzanie Energią

wiatrak

Bezpieczeństwo informacji

telekomunikacja

Testy penetracyjne

Opis usługi:

Celem wykonywania testów penetracyjnych jest analiza bezpieczeństwa urządzeń, sieci czy poszczególnych systemów. Przeprowadzając testy penetracyjne najczęściej stosujemy podejście blackbox (zakładające posiadanie minimum informacji dotyczących analizowanego środowiska), ale możliwe jest również zamówienie u nas testów penetracyjnych greybox, czy whitebox, łącznie z analizą bezpieczeństwa konfiguracji lub analizą bezpieczeństwa kodu źródłowego. Realizując testy penetracyjne, korzystamy z uznanych metodyk i zestawień zagrożeń (np. publikowanych przez projekt OWASP), ale wykorzystujemy także zalecenia producentów oprogramowania, normy z rodziny ISO/IEC 27000 oraz doświadczenie naszych specjalistów wynikające ze znajomości różnorodnych struktur systemów oraz znanych podatności. W celu wykonania testów penetracyjnych korzystamy m.in. ze specjalizowanej dystrybucji systemu Linux: Kali Linux, zawierającej dziesiątki narzędzi audytorskich, uzupełnionych o nasze modyfikacje lub rozszerzenia.

Zakres usługi zawsze dopasowujemy do specyfiki Klienta, może on obejmować przykładowo:

  • testy socjotechniczne zmierzające do pozyskania kluczowych informacji od pracowników organizacji,
  • przeprowadzenie rekonesansu i testów środowiskowych – pozyskanie informacji z powszechnie dostępnych źródeł,
  • testy penetracyjne usług udostępnionych w Internecie, w szczególności testy aplikacji webowych i stron www (w tym testy wydajnościowe),
  • analizę bezpieczeństwa ruchu sieciowego,
  • testy sieci wewnętrznej, urządzeń sieciowych, w tym audyt konfiguracji,
  • testy bezpieczeństwa sieci WLAN,
  • testy bezpieczeństwa zdalnego dostępu VPN,
  • ocenę bezpieczeństwa serwerów świadczących usługi (wersji oprogramowania i usług, wykrytych podatności),
  • testy jakości kryptograficznej stosowanych zabezpieczeń,
  • ocenę bezpieczeństwa stacji roboczych,
  • badanie efektywności stosowanych urządzeń firewall,
  • badanie efektywności stosowanych systemów IDS/IPS, systemów SIEM, a także ocenę reakcji administratorów na próby zdobycia dostępu do systemu poprzez działania podejmowane w trakcie testów.

Co zyskujesz?

Co zyskujesz dzięki testom penetracyjnym?

  • obiektywną i kompletną informację o wykrytych zagrożeniach środowiska IT,
  • informację o potencjalnym wpływie wykrytych zagrożeń na eksploatację systemów IT,
  • weryfikację adekwatności stosowanych rozwiązań bezpieczeństwa IT,
  • weryfikację stanu świadomości pracowników w kontekście bezpieczeństwa IT,
  • identyfikację i rozwiązanie problemów związanych z bezpieczeństwem IT,
  • listę rekomendacji zapewniających bezpieczeństwo.

Identyfikację zagrożeń dla bezpieczeństwa IT otrzymacie Państwo również, korzystając z naszej usługi analizy ryzyka, która jednocześnie jest obowiązkiem nałożonym przez ustawę KRI.

Przykładowe realizacje:

Testy penetracyjne sieci wewnętrznej i infrastruktury IT

Na potrzeby Klienta zrealizowaliśmy testy bezpieczeństwa urządzeń sieciowych (przełączników, routerów), a także wszystkich serwerów, stacji roboczych i urządzeń udostępnionych w sieci wewnętrznej Zamawiającego. Oprócz audytu bezpieczeństwa sieci LAN szczególnie dużo uwagi zostało poświęcone wykonaniu oceny bezpieczeństwa użytkowanej sieci bezprzewodowej.

Testy penetracyjne

Klientem Audytela jest duża instytucja, użytkująca rozległą sieć transmisji danych w technologii IP VPN/MPLS w kilkuset lokalizacjach oraz dwa scentralizowane data center. W związku z planami uruchomienia dostępu przez Internet do wewnętrznych zasobów instytucji, Klient zlecił Audytelowi audyt konfiguracji systemu bezpieczeństwa oraz wykonanie testów penetracyjnych VPN.

Jednym z etapów projektu był audyt konfiguracji istniejącej infrastruktury sieciowej (firewalle, sondy IDS/IPS, serwery kontroli dostępu itp.). Dodatkowo, przeprowadzono analizę procedur związanych z bezpieczeństwem (np. proces instalowania certyfikatów), a także audyt całej dokumentacji: począwszy od schematów sieci, adresacji, ważniejszych konfiguracji po analizę architektury projektu i procedur.

W innym etapie wykonano testy penetracyjne typu blackbox (podejście zakładające brak wiedzy zespołu testującego na temat badanego rozwiązania). W wyniku analizy stwierdzono, że architektura rozwiązania została zaprojektowana i wdrożona prawidłowo, ale niektóre procedury wymagają poprawienia (np. automatyczna dystrybucja certyfikatów). Wskazano także na możliwości bezinwestycyjnego uruchomienia w systemie funkcji, które zwiększą techniczny poziom bezpieczeństwa oraz usprawnią proces logowania i monitorowania jego elementów.

Audyt bezpieczeństwa kluczowego systemu obiegu informacji finansowych

W ramach audytu bezpieczeństwa systemu obiegu informacji finansowych, wykonywanego na rzecz naszego Klienta, pod uwagę wzięliśmy konfigurację oraz stosowane zabezpieczenia wszystkich komponentów tego systemu. Zakres przeprowadzanych prac obejmował wykonanie testów penetracyjnych serwerów – komponentów systemu automatyzacji obiegu informacji finansowej oraz podsłuchanie i analizę ruchu sieciowego pomiędzy tymi komponentami.

Przeprowadzone przez nas testy ujawniły pewnego rodzaju niedociągnięcia, które mimo tego, że nie stanowiły krytycznego zagrożenia dla bezpieczeństwa, to mogły zostać łatwo wyeliminowane (poprzez wgranie odpowiednich poprawek, czy zmianę konfiguracji usług i zabezpieczeń).

Z usługi skorzystali:

budimex
KRRIT
Lasy
RWE
Ministerstwo finansów
zus
pzu
quercus
kapsch
linkedin

Google +

icon

Newsletter

icon

Zapisz się do newslettera i otrzymuj bezpłatnie artykuły naszych ekspertów.


linkedin

Linkedin