Тестирование на проникновение сети
Мы тестируем вашу сеть так, как это делал бы атакующий: с внешнего периметра, из условной точки опоры внутри сети и через границы сегментации. Пентест по PTES и NIST SP 800-115 подтверждает, что слабое место можно эксплуатировать; одного сканирования для этого мало.
Три перспективы
Тест на проникновение подтверждает, что слабое место можно эксплуатировать, а не только то, что уязвимость есть (NIST SP 800-115). Мы охватываем внешний периметр и внутреннюю сеть из условной точки опоры. Отдельно и обязательно проверяем сегментацию: пытаемся её преодолеть, а не ограничиваемся сканированием.
- Внешний периметр: обращённые в интернет сервисы, открытые активы и удалённый доступ
- Внутренняя сеть: горизонтальное перемещение, повышение привилегий и атаки на Active Directory
- Сегментация: активные попытки достичь чувствительной зоны (CDE) извне неё
- Неверные конфигурации, слабые сервисы и слабости учётных данных
- Недостаточная валидация ввода и эксплуатируемые уязвимости сервисов
- Эксплуатация, выстроенная в цепочку для демонстрации реального, приоритизированного влияния
Работы на основе стандартов
Мы следуем фазам NIST SP 800-115, где фаза атаки возвращается к обнаружению по мере получения нового доступа, и выстраиваем работы по PTES. Тип «коробки» (black-, grey- или white-box) согласуется с вами заранее.
- 1
Планирование
Согласуем объём, модель угроз, цели и правила проведения работ и подписываем NDA до любого доступа.
- 2
Обнаружение
Перечисляем хосты, сервисы и доверительные отношения, чтобы построить точную картину поверхности атаки.
- 3
Атака
Подтверждаем слабые места, эксплуатируя их, и возвращаемся к разведке, когда новый доступ открывает новые пути.
- 4
Проверка сегментации
Активно пытаемся пересечь границы изоляции в чувствительную зону, а не полагаемся на скан.
- 5
Отчёт и бесплатная повторная проверка
Вы получаете отчёт с приоритетами, включая результаты по сегментации, а исправленные проблемы мы без дополнительной платы перепроверяем в срок, указанный в SoW.
Что вы получаете
Отчёт, выстроенный по образцу структуры отчёта о тестировании на проникновение от PCI SSC, с отдельным разделом по сегментации и глубиной нашего образца отчёта.
- Краткое резюме, описание границ (CDE против не-CDE) и методология
- Описание хода тестирования и отдельный раздел с результатами тестирования сегментации
- По каждой находке: эксплуатируемость, доказательства, шаги воспроизведения и исправление
- Уровень риска по CVSS 3.1 с переводом в бизнес-риск
- Ссылки на CVE и CWE, а также использованные инструменты и заявление об очистке
- Бесплатная повторная проверка устранённых проблем в срок, указанный в SoW, а по желанию и письмо-подтверждение (не аттестация QSA)
Опирается на PTES, NIST SP 800-115 и рекомендации PCI
Внешнее и внутреннее тестирование и проверка сегментации проводятся по PTES и NIST SP 800-115. Проверка сегментации подтверждает изоляцию на практике и помогает выполнить требования к тестированию на проникновение из PCI DSS Req 11.4. Мы обеспечиваем подготовку и тестирование, но не являемся QSA и не выдаём сертификатов. Мы можем выдать письмо-подтверждение, в котором прямо сказано, что оно не является аттестацией QSA. Находки оцениваются по CVSS 3.1.