Внутренний тест на проникновение (Internal Penetration Testing)
Внутренний пентест, или тестирование на проникновение внутренней сети, проводится для оценки безопасности информационной системы внутри организации.
Заказать услуги по внутреннему пентесту и анализу уязвимостейПроведение внутреннего теста на проникновение
Конечная цель внутреннего тестирования на проникновение (Internal Penetration Testing) — проверка уязвимостей внутренней сети компании, которые могут быть использованы злоумышленниками для несанкционированного доступа к информации или ресурсам. Эта услуга может проводиться как однократно, так и периодически.
Ниже представлены основные этапы проведения услуги:
- Планирование: на данном этапе определяются цели и требования заказчика, составляется план тестирования, анализируются возможности и ограничения средств и систем, используемых для тестирования. Здесь же определяются границы тестирования, набор потенциальных уязвимостей, которые будут проверяться;
- Сбор информации: на данном этапе производится сбор информации о системах, сети и приложениях внутри компании. Это может быть осуществлено через различные методы, например, сканирование портов и сервисов, опросы пользователей, анализ логов и т. д.;
- Анализ уязвимостей: на этом этапе тестируются найденные уязвимости в сети и приложениях. Это может быть осуществлено через эксплуатацию уязвимостей, использование инструментов для тестирования или комбинацию обоих методов;
- Разработка отчета: по результатам анализа уязвимостей разрабатывается отчет, который содержит описание выявленных уязвимостей, их критичность, а также рекомендации по устранению этих уязвимостей;
- Обсуждение отчета: отчет обсуждается с заказчиком, происходит обмен мнениями и предложениями по устранению найденных уязвимостей;
- Устранение уязвимостей: после обсуждения отчета заказчик самостоятельно или с помощью специалистов исправляет найденные уязвимости в системах, сети и приложениях;
- Опционально. Повторное тестирование: После устранения уязвимостей проводится повторный тест, чтобы убедиться в том, что все уязвимости устранены и безопасность систем восстановлена.
В чем разница между внешним и внутренним пентестом?
Основные отличия внешнего пентеста от внутреннего:
- Объект тестирования: внешний пентест сконцентрирован на внешней инфраструктуре компании, которая подвергается атакам извне. В то время как внутренний пентест тестирует внутреннюю инфраструктуру компании, доступную только внутри;
- Методы тестирования: для проведения внешнего пентеста используются различные методы, такие как сканирование портов, перехват трафика, тестирование на проникновение в веб-приложения, фишинг и социальная инженерия. В то время как для внутреннего пентеста применяются другие методы, такие как эксплуатация уязвимостей внутренних систем, аудит безопасности приложений и тестирование прав доступа;
- Результаты тестирования: результаты внешнего пентеста могут быть менее точными из-за ограничений внешнего доступа к инфраструктуре компании. Результаты внутреннего пентеста более полные, поскольку тестирование проводится на самой инфраструктуре компании;
- Настройка: для проведения внешнего пентеста необходимо настроить специальный диапазон IP-адресов для тестирования, а также получить соответствующее разрешение от органов управления. В то время как для внутреннего пентеста не требуется особого разрешения, поскольку тестирование проводится внутри компании.
Как внешний, так и внутренний пентест являются важной частью стратегии информационной безопасности компании. Использование обоих видов пентеста позволяет выявить и устранить возможные уязвимости внешних и внутренних систем, что повышает уровень безопасности компании в целом.
Как понять, что необходимо провести пентест?
Необходимость проведения работ по анализу уязвимостей и тестированию на проникновение определены в ГОСТ 57580.1–2017. Это значит, что организации, которым нужно обеспечивать соответствие указанному стандарту в рамках Положений Банка России 683-П, 719-П, 747-П, 757-П, а также Приказа Минкомсвязи №930, необходимо на ежегодной основе проводить пентест тех или иных объектов инфраструктуры.
Что нужно предоставить и как подготовиться к прохождению пентеста?
В самом общем случае нужно сделать так, чтобы эксперты смогли подключиться к тестируемой инфраструктуре. Поэтому в случае внешнего тестирования необходимо предоставить перечень ресурсов, в случае внутреннего – возможность доступа к внутренней сети Заказчика.
При подготовке к тестированию нужно оповестить свою службу ИТ о проводимых работах и проверить наличие резервных копий критичных сервисов. Дополнительно в ходе тестирования возможно указать эксперту на желаемые временные рамки, в которые можно проводить тестирование – например, в будние дни с 9:00 до 18:00.
Сколько по времени занимает тестирование?
Это зависит от типа пентеста и может широко варьироваться. Если тестирование внешнего периметра занимает от двух недель, то работы по направлениям социальной инженерии либо тестирования внутренней сети могут длиться до двух месяцев и более.
Компетентные специалисты
Опыт, закрепленный большим количеством проведенных пентестов и подготовка наших специалистов — дают гарантию в корректности отчетов.
Конкурентные цены
Мы стремимся оптимизировать все процессы производства, что позволяет быть более эффективными.
Объективная оценка
Как независимая компания, мы дадим объективную оценку информационной безопасности предприятия.
Стоимость по внутреннему пентесту и анализу уязвимостей
Услуга | Стоимость |
---|---|
Консультация |
бесплатно |
ПентестТестирование на проникновение по требованиям положений Банка России 683-П, 719-П, 757-П |
от 135000 руб. |
Социальная инженерияВарианты: email, телефон, очно |
от 200 000 руб. |
Пентест приложенияАнализ уязвимостей программного обеспечения |
от 250 000 руб. |
Пентест сайтаАнализ защищенности сайта |
от 150 000 руб. |
Внутренний пентестПроверка системы на уязвимости изнутри |
от 150 000 руб. |
Свяжитесь с нами
Напишите нам! Расскажите о Вашей задаче и наш специалист свяжется с Вами.
Услуги для Вас
Оценка и анализ уязвимостей по ОУД4 и ГОСТ 15408-3
Анализ уязвимостей и оценка программного обеспечения по ОУД4 и ГОСТ 15408-3
ПодробнееОценка соответствия по 683-П
Оценка соответствия требованиям Положения Банка России №683-П
ПодробнееГОСТ Р 57580
Оценка соответствия (аудит) требованиям в области информационной безопасности по ГОСТ Р 57580
ПодробнееОценка соответствия по 757-П (684-П)
Оценка уровня информационной безопасности предприятия и организации (НФО) по 757-П (684-П)
ПодробнееОценка соответствия по 382-П
Положение Банка России № 382-П: требования, аудит и оценка соответствия
ПодробнееОценка соответствия по 672-П (747-П)
Оценка соответствия требованиям Положения Банка России №672-П (747-П)
Подробнее