Активный аудит информационной безопасности

Дата публикации: 23 ноября 2017

Вадим Владимирович Петров
Ведущий эксперт по защите информации

239

Существует несколько разновидностей аудита информационных систем организации. Чаще прочих заказывают активный аудит, также известный как инструментальный анализ защищенности. По сути он представляет собой моделирование хакерских атак, работу взломщика «в полевых условиях» — именно так можно выяснить на практике, насколько хорошо ИС защищена от проникновения извне. Многие предпочитают заказывать такую проверку перед аттестацией для получения лицензии ФСТЭК на ТЗКИ или лицензий ФСБ, требующих надёжной защиты технических каналов связи.

Для большей надежности результатов проверяющему не представляют внутреннюю информацию о сетевой защите – он работает, как работал бы реальный хакер только на основании того, что можно найти в публичных источниках. Количество и разнообразие моделируемых атак зависит от программного обеспечения, находящегося в распоряжении проверяющего, и его собственного знания IT-технологий.

Методы активного аудита информационных систем

Существует две разновидности этого типа аудита — так называемые внешний и внутренний. Проверяющий в ходе внешнего аудита информационной безопасности применяет методы, имитирующие действия хакера, работающего извне:

• собирает все сведения об ИС компании, какие можно добыть из публичных источников;
• проверяет, можно ли получить доступ к IP-адресам компании из внешних сетей;
• сканирует данные адресов, чтобы определить, что за программы запущены, и назначить отсканированные хосты;
• определяет, какими версиями программ пользуется отсканированный хост;
• прослеживает маршруты, по которым трафик поступает к хостам компании;
• анализирует собранные сведения, чтобы вычленить слабые места в системе безопасности.

Внутренний аудит проводится так же, как и внешний, с одним отличием: проверяющий имитирует работу хакера не извне, а изнутри, с помощью специальных программ.

Таким образом, нет большой разницы, какой вид активного аудита заказывать. Выбор придется делать в двух случаях. Во-первых, если у компании ограничены средства, которые она может себе позволить потратить на закупку средств информационной защиты. И, во-вторых, если имеются конкретные пожелания со стороны заказчика: например, проверяющего могут попросить рассмотреть имевший место факт взлома защиты ИС. Точно так же нет смысла брать внутренний аудит, если вы не собираетесь проверять вашу систему защиты на уязвимость изнутри.

Итоги активного аудита ИС

Результатом проверки является полная картина слабых мест, имеющихся в исследуемой системе, с оценкой степени потенциальной опасности, которой они чреваты, и рекомендациями, как от них избавиться. Однако следует помнить, что методы активного аудита информационной системы организации позволяет проверить исключительно устойчивость системы к хакерским атакам и не выявляет другие возможные уязвимости. Так, с помощью этого вида проверки невозможно установить, насколько проект вашей ИС корректен с точки зрения сохранности данных. Поэтому для формирования идеальной системы защиты информации необходимо уделять внимание и другим разновидностям аудита, например, экспертному или аудиту на соответствие стандартам с применением других методов тестирования.

Учитывая, что хакеры постоянно создают новые способы проникновения и кражи данных, а программы, которыми они пользуются, постоянно совершенствуются, будет нелишним заказывать активный аудит как минимум раз в год, чтобы быть уверенным, что сетевая защита работает прекрасно и по-прежнему актуальна.

Нужна косультация по лицензированию ФСТЭК?

Проконсультироваться