Расширенное тестирование на проникновение

В 2017 году в США, состо­я­лась встре­ча руко­во­ди­те­ля Инсти­ту­та Инфор­ма­ци­он­ной Без­опас­но­сти — Оле­га Вик­то­ро­ви­ча Маль­це­ва с его аме­ри­кан­ски­ми кол­ле­га­ми кри­ми­на­ли­ста­ми. Тема­ти­ка круг­ло­го сто­ла с экс­пер­та­ми кри­ми­на­ли­ста­ми в Нью Йор­ке была в обмене схе­ма­ми про­ти­во­дей­ствия раз­лич­ным взло­мам и про­ник­но­ве­ни­ям в США и Евро­пе за послед­ние 10 лет. В резуль­та­те встре­чи была раз­ра­бо­та­на исчер­пы­ва­ю­щая клас­си­фи­ка­ция эффек­тив­ных мето­дов взло­ма, суще­ству­ю­щих на тот момент. Сте­пень эффек­тив­но­сти опре­де­ля­лась по ско­ро­сти взло­ма, и нане­сен­но­му финан­со­во­му и репу­та­ци­он­но­му ущер­бу. Дан­ная клас­си­фи­ка­ция ста­ла основ­ной для раз­ра­бот­ки эффек­тив­ной защи­ты, кото­рую раз­ра­ба­ты­ва­ли экс­пер­ты кри­ми­но­ло­ги­че­ско­го иссле­до­ва­тель­ско­го цен­тра. В 2017 году в экс­перт­но­му кру­гу был пред­став­лен резуль­тат иссле­до­ва­ний: про­дукт Инсти­ту­та Инфор­ма­ци­он­ной Без­опас­но­сти, “Про­ак­тив­ная Защи­та”, кото­рый пред­став­ля­ет собой рас­ши­рен­ное тести­ро­ва­ние на про­ник­но­ве­ние с эле­мен­та­ми соци­аль­ной инже­не­рии. С 2018 года дан­ные про­дукт был вали­ди­зи­ро­ван и аппло­би­ро­ван раз­лич­ны­ми экс­перт­ны­ми орга­ни­за­ци­я­ми. Ана­ли­ти­че­ская база содер­жит в себе более 200 кей­сов тесто­вых взло­мов на тер­ри­то­рии США и Евро­пы.

Рас­ши­рен­ное тести­ро­ва­ние исполь­зу­ет ком­плекс­ное и реа­ли­стич­ное моде­ли­ро­ва­ние реаль­ной ата­ки на орга­ни­за­цию. Соче­тая так­ти­ку соци­аль­ной инже­не­рии с тра­ди­ци­он­ны­ми мето­да­ми тести­ро­ва­ния на про­ник­но­ве­ние, орга­ни­за­ции могут полу­чить более пол­ное пред­став­ле­ние о сво­их уяз­ви­мо­стях и пред­при­нять необ­хо­ди­мые шаги для защи­ты. 

По мере раз­ви­тия угроз эво­лю­ци­о­ни­ру­ют и мето­ды, исполь­зу­е­мые зло­умыш­лен­ни­ка­ми для полу­че­ния несанк­ци­о­ни­ро­ван­но­го досту­па к систе­мам орга­ни­за­ции. Соче­тая соци­аль­ную инже­не­рию с тра­ди­ци­он­ны­ми мето­да­ми тести­ро­ва­ния на про­ник­но­ве­ние, мы можем ими­ти­ро­вать наи­бо­лее реа­ли­стич­ные и про­дви­ну­тые виды ата­ки, что в свою оче­редь поз­во­ля­ет орга­ни­за­ци­ям полу­чить более пол­ное пред­став­ле­ние о сво­их уяз­ви­мо­стях и пред­при­нять необ­хо­ди­мые шаги для защи­ты.

Поша­го­вый план рас­ши­рен­но­го тести­ро­ва­ния на про­ник­но­ве­ние с эле­мен­та­ми соци­аль­ной инже­не­рии:

• Опре­де­ле­ние зада­чи: Пер­вым шагом в про­цес­се тести­ро­ва­ния на про­ник­но­ве­ние явля­ет­ся чет­кое опре­де­ле­ние объ­е­ма и целей тести­ро­ва­ния. Это вклю­ча­ет в себя опре­де­ле­ние кон­крет­ных систем, сетей и при­ло­же­ний, кото­рые будут тести­ро­вать­ся, а так­же любых кон­крет­ных уяз­ви­мо­стей или сце­на­ри­ев атак, кото­рые будут ими­ти­ро­вать­ся.
• Ана­лиз внеш­не­го пери­мет­ра: Этот этап вклю­ча­ет в себя опре­де­ле­ние потен­ци­аль­ных целей и уяз­ви­мых эле­мен­тов сре­ди клю­че­вых лиц, сотруд­ни­ков ком­па­нии и постав­щи­ков. Этот этап так­же вклю­ча­ет выяв­ле­ние любых уяз­ви­мо­стей в систе­мах кон­тро­ля досту­па и аутен­ти­фи­ка­ции поль­зо­ва­те­лей.
• Ана­лиз пери­мет­ра без­опас­но­сти: Этот этап вклю­ча­ет в себя опре­де­ле­ние клю­че­вых эле­мен­тов внут­рен­ней сети и инфра­струк­ту­ры орга­ни­за­ции. Сюда вхо­дит опре­де­ле­ние узлов свя­зи, сер­ве­ров и дру­гих кри­ти­че­ски важ­ных систем, кото­рые могут стать мише­нью для ата­ки.
• Раз­ра­бот­ка ата­ки: На этом эта­пе тести­ров­щи­ки исполь­зу­ют инфор­ма­цию, собран­ную на преды­ду­щих эта­пах, для раз­ра­бот­ки инфор­ма­ци­он­ной ата­ки высо­ко­го поряд­ка, кото­рая ими­ти­ру­ет реа­ли­стич­ный и про­дви­ну­тый сце­на­рий ата­ки. Сюда вхо­дит опре­де­ле­ние наи­бо­лее веро­ят­ных век­то­ров ата­ки, таких как фишин­го­вые пись­ма, так­ти­ка соци­аль­ной инже­не­рии и тех­ни­че­ские уяз­ви­мо­сти.
• Нача­ло ата­ки: Исполь­зуя инфор­ма­цию и так­ти­ку, собран­ную на преды­ду­щих эта­пах, испы­та­те­ли про­ве­дут ими­та­цию ата­ки, пыта­ясь полу­чить несанк­ци­о­ни­ро­ван­ный доступ к систе­ме.
• Полу­че­ние несанк­ци­о­ни­ро­ван­но­го досту­па: Исполь­зуя мето­ды соци­аль­ной инже­не­рии, тесте­ры попы­та­ют­ся полу­чить несанк­ци­о­ни­ро­ван­ный доступ к целе­вым систе­мам. Этот этап может вклю­чать такие так­ти­ки, как фишин­го­вые пись­ма, пред­лог и дру­гие мето­ды мани­пу­ля­ции.
• Полу­че­ние досту­па с помо­щью тех­ни­че­ских средств: На этом эта­пе тести­ров­щи­ки исполь­зу­ют тех­ни­че­ские сред­ства, такие как вре­до­нос­ные про­грам­мы, набо­ры экс­плой­тов и дру­гие хакер­ские инстру­мен­ты для полу­че­ния досту­па к целе­вым систе­мам.
• Выпол­не­ние постав­лен­ной зада­чи: Полу­чив несанк­ци­о­ни­ро­ван­ный доступ к целе­вым систе­мам, тести­ров­щи­ки попы­та­ют­ся полу­чить кон­фи­ден­ци­аль­ную инфор­ма­цию, нару­шить функ­ци­о­наль­ность систе­мы или выпол­нить дру­гие зада­чи, опре­де­лен­ные в пер­во­на­чаль­ной поста­нов­ке зада­чи.
• Под­го­тов­ка отче­та: Послед­ним шагом в про­цес­се тести­ро­ва­ния на про­ник­но­ве­ние явля­ет­ся под­го­тов­ка подроб­но­го отче­та о резуль­та­тах тести­ро­ва­ния. Этот отчет будет вклю­чать опи­са­ние выяв­лен­ных уяз­ви­мо­стей, мето­дов, исполь­зо­ван­ных для их экс­плу­а­та­ции, и реко­мен­да­ции по улуч­ше­нию защи­ты инфор­ма­ци­он­ной без­опас­но­сти орга­ни­за­ции.

Под­го­тов­ка и про­ве­де­ние опе­ра­ции на про­ник­но­ве­ние зани­ма­ет от 2х до 4х недель. Резуль­та­ты тесто­во­го взло­ма поз­во­лят полу­чить цен­ные све­де­ния о силь­ных и сла­бых сто­ро­нах систе­мы защи­ты и инфор­ма­ци­он­ной без­опас­но­сти орга­ни­за­ции.

Фак­ти­че­ский про­цесс может отли­чать­ся в зави­си­мо­сти от кон­крет­ных тре­бо­ва­ний и орга­ни­за­ции, в кото­рой про­во­дит­ся тести­ро­ва­ние. Про­цесс тести­ро­ва­ния осу­ществ­ля­ет­ся опыт­ны­ми и сер­ти­фи­ци­ро­ван­ны­ми спе­ци­а­ли­ста­ми в дан­ной обла­сти, вла­де­ю­щи­ми новей­ши­ми мето­да­ми и инстру­мен­та­ми. Коман­да тести­ров­щи­ков состо­ит из этич­ных хаке­ров, экс­пер­тов по инфор­ма­ци­он­ной без­опас­но­сти, спе­ци­а­ли­стов по соци­аль­ной инже­не­рии, спе­ци­а­ли­стов по сетям и инфра­струк­ту­ре, юри­стов,  а так­же экс­пер­тов-кри­ми­на­ли­стов. Коман­дой соблю­да­ют­ся все зако­ны и пра­ви­ла стра­ны, в кото­рой будет про­во­дить­ся про­вер­ка, что­бы обес­пе­чить соот­вет­ствие тре­бо­ва­ни­ям и реше­ние воз­мож­ных юри­ди­че­ских вопро­сов.