Анализ защищенности
Анализ защищенности (технический аудит)
Назначением технического аудита являются:
- практический контроль эффективности мер по защите информации
- поиск и устранение уязвимостей в механизмах безопасности критичных информационных систем и сервисов
- проверка компетентности администраторов
- проверка соблюдения требований корпоративной политики ИБ
- проверка устойчивости информационных систем и сервисов к атакам
- контроль защищенности в рамках Compliance
Для кого?
Для широкого круга заказчиков, заинтересованных в независимой оценке технологической защищенности (практического обеспечения ИБ).
Описание услуги
В ходе оказания услуги проводится:- определение границ проекта, согласование методики теста
- реализация мероприятий теста на проникновение
- подведение итогов и подготовка рекомендаций
Тактика и сценарий выполнения технического аудита варьируется в зависимости от объекта проверки и в общем случае включает этапы подготовки (поиск по открытым источникам и сетевым информационным службам), обнаружения уязвимостей (fingerprinting, сканирование, анализ работы систем), реализации найденных уязвимостей (с оценкой потенциального ущерба, возможных направлений дальнейших действий, возможности «заметания следов»). В методиках ТОО «ПАЦИФИКА» активно применяются положения методологий OSSTMM и ОWASP.
Для «заказных» систем дополнительно предлагается проведение анализа исходных кодов критичных процедур на наличие уязвимостей, позволяющих реализовать атаки XSS и SQL-инъекции либо обойти встроенные механизмы безопасности.
Результат и его бизнес-ценность
В результате оказания услуги заказчик получит квалифицированный ответ на вопрос: уязвима ли информационная система к атакам потенциальных злоумышленников? Результаты теста продемонстрируют болевые точки в обеспечении ИБ (проблемы в настройках, незакрытые уязвимости, ошибки в администрировании, халатность) и позволят устранить недостатки до того, как система будет взломана и компании будет нанесен ущерб.