Проверка на проникновение (пентест) — это метод оценки безопасности информационных систем и сетей. Проводится для обнаружения слабых мест, которые злоумышленники могут использовать, чтобы получить доступ к сведениям или нарушить работу системы.
Тестирование на проникновение — по сути, это воспроизведение тактик и инструментов, которые используют хакеры, чтобы проверить устойчивость инфраструктуры к реальным угрозам.
Для чего нужен пентест
Задача пентеста — обеспечение безопасности информационных систем, благодаря своевременному выявлению и устранению угроз.
Используя пентест на проникновение, можно:
- Обнаружить уязвимые точки в системе.
- Проанализировать уровень угроз и риска.
- Узнать способы устранения найденных проблем.
С помощью пентеста руководство компании понимает, достаточно ли информационная система защищена от кибератак и каким образом можно снизить риск взлома.
Виды пентестов
Их есть несколько видов, которые можно классифицировать по типу и объекту тестирования.
1. Внутренний пентест
Проводится для проверки безопасности системы внутри организации. Обычно внутреннее тестирование на проникновение выполняет команда специалистов с доступом к внутреннему коду.
Это позволяет выявить уязвимости, которые могут быть использованы злоумышленниками. Внутренние тесты помогают понять, насколько данные и системы защищены от утечки информации.
2. Внешний пентест
Направлен на оценку безопасности системы с точки зрения злоумышленника, который пытается получить доступ к ресурсам извне.
Внешнее тестирование на проникновение — это анализ общедоступных интерфейсов, например, веб-сайтов и API. Внешние пентесты помогают определить, как защищены системы от атак извне.
3. Пентест веб-приложений / сайтов
Тестирование веб-приложений и сайтов на проникновение — это выявление слабых мест в коде и архитектуре приложений. В процедуру входит проверка уязвимостей: SQL-инъекций, XSS (межсайтового скриптинга), CSRF.
Поскольку веб-приложения часто являются целями атак, такой вид пентеста обеспечивает безопасность пользовательских данных и бизнеса.
Пентест приложений может быть как внешним, так и внутренним. Это зависит от задач проекта.
4. Пентест информационных систем
Этот вид тестирования охватывает широкий спектр объектов: базы данных, серверы и другие составляющие информационной инфраструктуры.
Пентест информационных систем помогает выявить слабые места в их конфигурации и архитектуре, интеграции друг с другом. Это позволяет организациям защитить свои данные и ресурсы.
5. Пентест сети
Пентест сети может быть внешним и внутренним.
Внешний пентест сети направлен на оценку защиты периметра сети от атак из интернета. Эксперты имитируют действия злоумышленника, который пытается проникнуть в корпоративную инфраструктуру через публично доступные ресурсы.
Примеры проверяемых угроз:
- DDoS-атаки — оценка устойчивости к перегрузке каналов связи.
- Эксплуатация уязвимостей в публичных сервисах (например, веб-серверах, VPN-шлюзах, почтовых сервисах).
- Сканирование портов для обнаружения открытых точек входа.
- Подбор учетных данных к внешним системам (например, SSH, RDP).
- Атаки на DNS (кэш-отравление).
Внутренний пентест сети проводится для оценки защиты от злоумышленника, который уже проник во внутреннюю сеть (например, через фишинг или инсайдера).
Тестирование фокусируется на:
- Сегментации сети — проверка, могут ли злоумышленники перемещаться между подсетями (lateral movement).
- ARP-spoofing и перехват трафика — анализ рисков утечки данных.
- Эксплуатация уязвимостей внутренних сервисов (базы данных, системы мониторинга, принтеры).
- Атаки на Active Directory (кража хэшей паролей, повышение привилегий).
- Обход межсетевых экранов и систем обнаружения вторжений (IDS/IPS).
Такой подход позволяет выявить слабые места в конфигурации оборудования и ошибки в архитектуре сети. Например, недостаточную изоляцию критичных сегментов (финансовых систем, IoT-устройств) или отсутствие контроля за служебными протоколами (SNMP, Telnet).
Кому требуется пентест
Проведение ежегодной проверки на проникновение обязательно для:
- Финансовых организаций на основе Положения Центробанка (684).
- Субъектов критической информационной инфраструктуры, на основе ФЗ-187.
На других предприятиях процедура проводится по желанию руководства.
Проводить пентест желательно, если в компании:
- Планируется запускать новый продукт.
- Произошли серьезные инфраструктурные изменения.
- Периодически, чтобы поддерживать высокий уровень защиты данных.
Инструменты пентеста
При тестировании применяются инструменты и методы, которые помогают всесторонне анализировать безопасность данных в компании. К ним относятся:
- Автоматизированные инструменты
- Средства для исследования сети или сетевого потока
- Средства для оценки веб-программ
- Приемы социальной инженерии
Примеры по каждому пункту рассмотрим ниже.
1. Автоматизированные инструменты помогают организациям выявлять угрозы. Они сканируют сети, приложения и информационные базы, на наличие уязвимостей.
Примеры:
- Nessus. Сканер уязвимостей, который выявляет конфигурационные ошибки.
- OpenVAS. Открытый сканер уязвимостей и оценки уровня безопасности.
- Qualys. Облачный сервис для сканирования и оценки безопасности.
2. Средства для анализа сети позволяют администраторам и специалистам по безопасности отслеживать, оценивать сетевой трафик, находить аномалии, атаки или утечки информации.
Примеры:
- Wireshark. Инструмент для исследования трафика, поиска угроз.
- tcpdump. Инструмент для фильтрации трафика по разным критериям.
- NetFlow Analyzer. Инструмент для отслеживания сетевого трафика.
3. Средства для оценки веб-программ помогают находить уязвимости в веб-приложениях: SQL-инъекции, XSS (межсайтовый скриптинг) и другие распространенные проблемы безопасности.
Примеры:
- Burp Suite. Тестирует безопасность веб-приложений, состоит из прокси-сервера, сканера уязвимостей и инструментов для манипуляции с запросами.
- OWASP ZAP (Zed Attack Proxy). Автоматизирует поиск слабых мест.
- Acunetix. Коммерческий сканер, который проверяет сайты на наличие слабых мест.
4. Социальная инженерия — это способ манипуляции людьми для получения конфиденциальных данных или доступа.
Примеры:
- Фишинг. Отправка поддельных электронных писем или сообщений с просьбой предоставить личные данные или перейти на вредоносный сайт.
- Предлог (Pretexting). Создание вымышленной ситуации или личности для получения данных. Например, звонок в техподдержку под видом сотрудника компании с просьбой сбросить пароль.
- Смишинг (SMS-фишинг). Использование текстовых сообщений для обмана жертв, получения конфиденциальных данных или установки вредоносного ПО на мобильные гаджеты.
Инструменты помогают выявлять виды уязвимостей и комплексно подходить к защите конфиденциальных данных.
Стадии тестирования на проникновение
Комплекс работ по тестированию на проникновение зависит от проверяемого объекта, и в него входит несколько шагов:
1. Составление плана работ и подготовительный этап.
Эксперты компании «УИБ» собирают перечень систем, приложений и сетей, которые нужно протестировать. Это веб-приложения, внутренние сети, облачные сервисы и т.д.
Определяются временные рамки проекта и необходимые ресурсы — специалисты, инструменты и технологии. Устанавливаются правила взаимодействия с клиентом, включая график отчетности и способы связи. Назначаются специалисты с навыками и опытом для выполнения задач, учитывая специфику проверяемого объекта.
2. Постановка задач проверки и выбор способов.
Выясняется, какие именно аспекты безопасности наиболее важны для клиента. Это защита данных, доступность сервисов или соблюдение нормативных требований.
На основе поставленных задач выбираем подходящие методы, например, тестирование с использованием автоматизированных инструментов, ручное тестирование или комбинация обоих подходов. Создаем сценарии атак, основываясь на уязвимостях и методах злоумышленников, чтобы проверить безопасность систем.
3. Внешний сбор данных.
На этом этапе собирается информация о целевых системах и сетях. Используются техники для сбора открытых данных о компании WHOIS-запросы, анализ соцсетей и изучение веб-сайта.
Проводится сканирование для обнаружения активных IP-адресов, открытых портов и доступных служб. Это позволяет получить представление о структуре сети. Изучаются доступные конфигурации систем, чтобы понять их настройки и уязвимости.
4. Анализ инфраструктуры, сбор сведений о системах и сетях.
Создается визуальная карта сети, отображающая устройства и их взаимосвязи. Это помогает понять архитектуру и выявить критические узлы.
Изучаются операционные системы (ОС), приложения для выявления известных уязвимостей. Они сравниваются с базами данных уязвимостей (например, CVE).
Собирается документация по системам и сетям, включая схемы сети, политики безопасности и инструкции по эксплуатации.
5. Поиск и обнаружение уязвимых точек.
Проводим проверку в соответствии с пентеста (внешним/внутренним) и объектами тестирования (сеть, веб-приложение, и т.д.).
Например: При внешнем пентесте фокус смещается на публично доступные компоненты: веб-сайты, API, сетевые периметры (маршрутизаторы, брандмауэры).
При внутреннем пентесте анализируются локальные системы, базы данных, серверы и взаимодействие между ними.
Для веб-приложений проверяются уязвимости в коде (XSS, SQL-инъекции), аутентификация и авторизация.
6. Тестирование слабых мест..
Проверяем, насколько уязвимые точки могут быть применены для компрометации системы.
Изучаем возможности повышения привилегий после успешного применения уязвимости. Фиксируем действия и результаты тестирования для дальнейшего анализа и отчетности.
7. Отчет и поиск способов по снижению риска возможного проникновения.
Создается детализированный отчет. В него входит описание проведенных работ, выявленные уязвимости и результаты тестирования.
Предлагаются конкретные меры по устранению выявленных проблем: обновление программного обеспечения, изменение конфигураций и обучение сотрудников.
Обсуждаются результаты тестирования, рекомендаций и меры по улучшению безопасности.
Предлагаются услуги по мониторингу системы безопасности и регулярным проверкам для обеспечения устойчивости к новым угрозам.
Каждый из шагов обеспечивает комплексный подход к оценке безопасности систем клиента.
Как проводят пентест эксперты УИБ
Компания оказывает услуги по ИБ, в частности, пентест — тестирование на проникновение. Мы внимательно анализируем информационную систему клиента, обнаруживаем слабые места и даем подробные рекомендации по снижению риска угрозы. Специалисты компании пользуются передовыми методами и инструментами для обеспечения максимальной защиты информации.
«Управление информационной безопасности» — лицензированный IT-интегратор, прошедший проверки ФСБ и ФСТЭК России. Компания имеет право оказывать услуги по ИБ и большой стаж в области защиты конфиденциальной в госорганах и коммерческих компаниях.
Гарантируем, что процедура будет проведена при полном соблюдении законодательства в сфере ИБ.
Плюсы взаимодействия с «УИБ»
Наши эксперты:
- Адаптируют сценарии тестирования под специфику бизнеса клиента.
- Предоставляют отчеты, включая пошаговые рекомендации и оценку рисков.
Закажите пентест у экспертов «УИБ» уже сегодня! Защитите бизнес от кибератак и получите детальный план улучшения безопасности.