7 сентября 2023

Взлом во благо: пентест и его место в ИБ-процессах

Организация и поддержка должного уровня ИБ требует комплексного подхода. Одна из его важнейших составляющих – “проверка боем”, или пентест, – тестирование надежности периметра защиты через попытку проникновения.

Стартовый аудит с продолжением

Комплексный подход в отношении ИБ начинается с аудита, который включает в себя набор процессов, позволяющих получить объективную оценку уровня защищенности ИТ-ландшафта.

Считается, что по результатам аудита компания имеет на руках всю необходимую информацию для построения качественной системы ИБ, – это только теория. А как на практике проверить, что принятые меры были успешными? На помощь приходит пентест, создающий симуляцию действий злоумышленников для реализации недопустимых событий внутри ИТ-периметра предприятия.

Решение о проведении пентеста, как правило, лежит на руководителе компании либо на департаменте информационной безопасности.

Отдельно стоит отметить финансовую отрасль, где, согласно положению Банка России (683-п), все кредитные организации ежегодно должны проводить тестирование на проникновение в объекты инфраструктуры. Следуя положению 719-п, такое тестирование могут проводить только сторонние организации, имеющие соответствующую лицензию. Если обратиться к 21-му приказу ФСТЭК, операторы персональных данных обязаны проводить анализ защищенности информационных систем не реже одного раза в три года. Пентест – одна из стандартных процедур этого анализа.

Виды и цели

Проведение тестирования имеет две основные цели:

  • продемонстрировать уязвимости объекта тестирования;
  • повысить уровень защищенности.

Указать на уязвимости необходимо, когда требуется выделить бюджет на новые средства и найм новых сотрудников, чтобы скорректировать текущую линию защиты, сделав ее более эффективной.

Пентесты могут проводиться:

  1. В режиме "белого ящика" – когда исполнитель полностью владеет информацией об архитектуре, имеет доступ администратора и все необходимые привилегии. Данный метод дает полную информацию об объекте с точки зрения ИБ, но не дает оценки показателя взломостойкости.
  2. В режиме "черного ящика" – когда тестировщик не владеет никакой информацией. В данном случае исполнитель находится на одном уровне с потенциальным злоумышленником, что позволяет наиболее точно смоделировать ситуацию взлома из внешнего периметра.
  3. Промежуточный вариант – режим "серого ящика". В этом случае пентестер имеет непривилегированные права, но при этом находится внутри периметра. Это достаточно универсальный метод, позволяющий найти ошибки из-за неправильной структуры или неверно настроенных приложений.

Что тестируем?

На этом этапе необходимо определить объекты тестирования. И здесь первоочередным считается анализ сетевого периметра, когда пентестер пытается проникнуть внутрь компании и скомпрометировать данные.

У опытного исполнителя не будет проблем с этим этапом. В 85% случаев получение доступа происходит с помощью методов социальной инженерии.

Тестирование с использованием Shadow IT – это новое слово в области кибербезопасности. Оно подразумевает под собой объекты инфраструктуры, выпавшие из поля зрения администраторов. Например, в компании существовала IP-телефония, которая давно не использовалась, но при этом оставалась активной и включенной в сеть. Все уже давно забыли о ней, кроме злоумышленника, которому удалось получить доступ в систему компании через уязвимости.

Внутренний пентест симулирует действия злоумышленника внутри инфраструктурного объекта. В этом случае перед тестировщиком ставят определенную цель, например завладеть информацией или внести определенные изменения в финансовые программы.

Большой популярностью пользуется тест веб-приложений. Если ранее сайты в Интернете представляли собой статичные страницы, то сейчас это полноценные приложения, через которые можно получить доступ в компанию: к базе клиентов, к персональным и платежным данным.

В текущем году был отмечен рост количества атак на веб-приложения – с 17 до 22%, относительно общего числа атак. Наибольший удар пришелся на госучреждения: количество успешных атак, направленных на сайты, выросло более чем в два раза.

Тестирование одного сайта занимает гораздо больше времени, чем аналогичные действия по другим направлениям, особенно если используется большое количество интерактивных элементов. При тестировании проверяется не только техническая составляющая, но и работа самой логики приложений. Зачастую можно получить доступ к служебной информации, воспользоваться дополнительными скидками и провести другие манипуляции, лишь слегка модифицировав запрос к серверу.

Например, был случай, когда в веб-приложении одного из банков удалось найти уязвимость, которая позволяла переводить другим клиентам отрицательные суммы, тем самым пополняя свой счет. К счастью, это быстро заметили и устранили.

Интересным вариантом пентеста является тестирование Wi-Fi-сетей. Как правило, его относят к внутреннему пентесту, но правильнее было бы выделить это направление работы в отдельный сегмент.

Ошибочно считается, что раз сеть работает только внутри офиса, то злоумышленник не сможет получить к ней доступ. Однако на рынке есть недорогие направленные антенны, которые позволяют дотянуться до сети с расстояния нескольких сотен метров.

Многие компании используют достаточно оригинальный подход, когда около офиса разворачивается ложная сеть с именем (SSID), полностью совпадающим с оригинальной. Телефоны проходящих мимо сотрудников пытаются подключиться к ней и тем самым отправляют учетные данные потенциальному злоумышленнику.

Отдельно стоит учесть тестирование на стойкость к DDoS-атакам. В сегменте розничных продаж атаки данного типа идут практически непрерывно, что повышает интерес к этому виду тестирования. Запуская такой тест, важно понимать, что санкционированная успешная атака может нарушить работу веб-приложения и привести к потере прибыли.

Поэтому лучше проводить ее на тестовом контуре либо в то время, когда посетителей практически нет.

Рынок и выбор

На текущий момент на рынке РФ представлено большое количество компаний, предоставляющих услуги по тестированию на проникновение. Согласно опросам, около 36% организаций выбирают компанию для пентеста на основании портфолио и примеров аналогичных работ для заказчиков из смежных отраслей.

При выборе исполнителя необходимо проанализировать множество факторов. В первую очередь стоит посмотреть на экспертизу компании в сегменте информационной безопасности, обратить внимание на то, как давно организация присутствует на рынке и какие продукты собственной разработки представлены в ее портфеле.

Хорошим знаком будет наличие аккредитации CREST, выдаваемой международным сообществом тестировщиков безопасности. Наличие сертификата подтверждает, что компания обладает высочайшими знаниями по кибербезопасности, а также навыками проведения тестирования по международным стандартам.

У каждого исполнителя есть набор услуг, на которых он специализируется. Например, классический пентест, или Red Teaming, есть практически у всех. А вот тестирование объектов АСУ ТП придется поискать. Хорошо бы узнать, каков уровень защищенности внутри самой компании, чтобы результаты пентестов не утекли в руки злоумышленников.

Обязательно стоит попросить потенциального подрядчика поделиться успешными кейсами, чтобы детально проанализировать подход исполнителя к тестированию.

Процесс и организация

Как выглядит алгоритм подготовки к пентесту после выбора цели и исполнителя?

Начинается все с оформления NDA. Это обязательное условие, поскольку данные о пентестах, особенно крупных компаний, весьма хорошо ценятся на черном рынке.

Для чистоты тестирования лучше всего оборудование и ПО оставить "как есть". Следует обеспечить максимально естественную рабочую конфигурацию, которая не нарушает процессы в компании. В ряде случаев невозможно проводить тестирование на "боевой" системе, поскольку это может нарушить критически важные процессы внутри компании. Тогда выделяется отдельная тестовая среда с идентичными характеристиками.

Перед проведением пентеста необходимо понять, готова ли организация выделить бюджет и ресурсы для проведения после пентеста мероприятий с целью повышения эффективности защищенности компаний, потому что получить отчет о результатах и убрать их в ящик – путь в никуда.

Многое зависит от выбранной стратегии тестирования. В режиме "белого ящика" у исполнителя есть вся необходимая информация, которую предоставляет тестируемая организация. Это значит, что как минимум ИБ-служба в курсе происходящего.

Возможен вариант пентеста в режиме red team vs blue team. В этом случае "синяя" команда пытается предотвратить вторжение и обнаружить злоумышленника, при этом зная время и примерное направление атаки, чтобы иметь возможность подготовиться. Наиболее чистым вариантом тестирования (когда основной задачей является определение самого факта проникновения и возможных направлений атак) считается Red Teaming, при котором служба безопасности не знает о возможном вторжении.

Условия успеха

Необходимо четкое понимание того, что мы хотим тестировать. В идеале нужно делать пентест по всем направлениям, но стоит учитывать, что это дорого стоит и требует немало времени.

Нельзя игнорировать внутреннего заказчика теста: если руководителю организации первостепенна сама возможность проникновения, то департаменту информационной безопасности нужна более детальная информация (как быстро злоумышленник может реализовать недопустимое событие, какие уязвимости использовал, какие инструменты задействовал, к какой информации был получен доступ).

Бывают случаи, когда отчет прежде всего нужен сотрудникам департамента информационных технологий и в нем необходимо отразить, какое ПО в зоне риска, а также как это можно исправить, не нарушая функционирование всех процессов.

Вне зависимости от задач пентеста необходимо понимать, что процедура тестирования на проникновение ни при каких условиях не может на 100% воссоздать атаку реального злоумышленника.

Действия пентестера ограничиваются Уголовным кодексом, он не может атаковать личные телефоны, ноутбуки, не может применять угрозы и шантаж при социальной инженерии.

Как показывает практика, злоумышленник в среднем находится около четырех дней внутри периметра, прежде чем реализовать недопустимое событие. А значит, используя современные средства, SOC-команда должна успеть обнаружить атаку и провести действия для ее предотвращения. Это позволяет оценить компетентность службы ИБ. Согласно статистике компании Positive Technologies, хакеру в 96% случаев удается проникнуть внутрь периметра организации, а в 89% случаев удается реализовать недопустимое событие с разной степенью ущерба. Пентест с большой долей вероятности покажет слабые места, которые будут требовать немедленной корректировки.

Источник: Information Security

Исследование iTrend: зарплата для ИТ-специалистов — не решающий фактор при выборе работодателя

23 апреля 2024

Эксперты коммуникационного агентства iTrend провели исследование, в рамках которого проанализировали критерии выбора работы, а также медиапредпочтения более 300 высокоуровневых специалистов из крупных российских ИТ-компаний.

 

Команда iTrend начала работу с Институтом iSpring

19 апреля 2024

Институт iSpring — частный ИТ-вуз нового поколения. Он был основан в 2021 году в Йошкар-Оле российским предпринимателем и основателем международной ИТ-компании iSpring Юрием Усковым.

 

Вебинар РУССОФТ, iTrend и BiToBe: «Работодатель-as-a-Service: новая реальность привлечения ИТ-специалистов»

15 апреля 2024

23 апреля в 15:00 пройдет открытый вебинар «Работодатель-as-a-Service: Новая реальность привлечения ИТ-специалистов»

 

iTrend: освоить маркировку интернет-рекламы можно только на собственном опыте

25 марта 2024

В феврале 2024 года в Москве прошла Конференция «Digital-коммуникации России». Организатор мероприятия – Ассоциация директоров по коммуникациям и корпоративным медиа России (АКМР). Эксперты конференции обсудили острые вопросы рынка digital, в том числе маркировку интернет-рекламы. Об опыте коммуникационного агентства в рамках перехода на работу по новым правилам рассказала Екатерина Саранцева, директор по развитию iTrend.

 

Медиалогия: iTrend – в ТОП-4 коммуникационных агентств по медиаиндексу за январь 2024 года

20 марта 2024

Коммуникационное агентство iTrend вошло в пятерку агентств, получивших наиболее высокий медиаиндекс по данным рейтинга «Медиалогии» за январь 2024 года. Компания заняла четвёртую строчку ранкинга, набрав 433,2 пункта МИ. Медиаактивность участников рынка оценивалась на основе анализа базы российских СМИ, включающей в себя более 88 тыс. источников — ТВ, радио, газеты, журналы, информационные агентства и Интернет-СМИ.

 
Все новости iTrend