Современные средства и способы проведения тестирования
информационной системы на проникновение

• Планирование и разведка
  • Определение целей теста, а также границ рассматриваемых систем.
  • Сбор информации (например, сетевые и доменные имена, почтовый сервер) для лучшего понимания, как работает цель, и нахождения ее потенциальных уязвимостей.
• Сканирование
  • Статический анализ - проверка кода приложения для оценки его поведения во время работы.
  • Динамический анализ. Проверка кода приложения непосредственно в работе. Это более практичный способ сканирования, поскольку он обеспечивает представление производительности приложения в режиме реального времени.
• Получение доступа
  • На этом этапе применяются атаки на веб-приложения, такие как межсайтовый скриптинг, SQL-инъекция и бэкдоры, чтобы выявить уязвимости цели
• Поддержка доступа
  • Цель этого этапа - выяснить, можно ли использовать уязвимость для достижения постоянного присутствия в эксплуатируемой системе.
• Анализ
  • Результаты теста на проникновение затем компилируются в отчет с подробным описанием конкретных уязвимостей, возможностью доступа к конфиденциальным данным, временем, в течение которого тестировщик мог незаметно оставаться в системе и др.

Итак, как же провести качественное тестирование на проникновение. В настоящее время активно разрабатываются специализированные дистрибутивы Linux, предназначенные для тестирования безопасности информационной системы. Обычно такие дистрибутивы основаны на существующих Linux-дистрибутивах и представляют собой их переработанные версии. Среди них наиболее популярными являются: BackBox, KaliLinux, ParrotSecurityOs, BlackArch, Pentoo, SecurityOnion и Caine. Информацию о них Вы можете найти на сайте.

• Open Source Security Testing Methodology Manual (OSSTMM) – методика, которая акцентирует внимание не только на технических тестах, но и на атаках связанных с социальной инженерией и направленных на пользователей корпоративной сети;
• NIST SP800-115 – документ, хотя и не является методикой, но описывает общие аспекты проведения тестов на проникновение;
• The Information Systems Security Assessment Framework (ISSAF) – фреймворк (framework), ориентированный на инструментальный поиск уязвимостей.

• Описание границ, в рамках которых был проведен тест на проникновение; методы и средства, которые использовались в процессе проведения теста на проникновение;
• описание выявленных уязвимостей и недостатков, включая уровень их риска и возможность их использования злоумышленником;
• описание примененных сценариев проникновения;
• описание достигнутых результатов;
• базовая оценка рисков информационной безопасности Компании;
• базовая оценка процессов обеспечения информационной безопасности организации;
• рекомендации по устранению выявленных уязвимостей и совершенствованию процессов обеспечения информационной безопасности организации;
• план работ по устранению найденных уязвимостей и совершенствованию процессов обеспечения информационной безопасности организации, приоритизированный в соответствии с критичностью уязвимостей.