Проверка защищённости ИС с помощью пентестов

Дата публикации: 2 февраля 2024

Вадим Владимирович Петров
Ведущий эксперт по защите информации

161

Как оценить защищенность вашей информационной системы от хакеров? На сегодняшний день самый оптимальный вариант – пентестинг системы, или по-русски – планируемое и контролируемое тестирование компьютерных сетей на уязвимости и возможность противостоять хакерским атакам.

Для чего нужен пентестинг

Этот процесс позволяет оценить защищенность IT-системы и выявить возможные уязвимости и слабые места в безопасности. Пентесты – это целенаправленные атаки определенного рода, создаваемые с целью выявить, классифицировать и описать, а впоследствии – нейтрализовать опасности и бреши в системе ИБ и усилить защиту информационной системы.

Даже уязвимости с низким риском могут привести к серьезным негативным последствиям, если использовать их определенным образом. Кроме выявления явных пробелов и недостатков защиты информационной сети пентесты позволяют выявить неочевидные «дыры» в системе защиты, которые невозможно отследить с помощью стандартного антивирусного ПО и средств контроля защищенности. Кроме того, такое целенаправленное тестирование помогает выяснить, насколько эффективно специалисты по информационной безопасности выявляют подобные атаки и могут ли оперативно среагировать на них.

Сегодня пентестинг часто включают в число обязательных мероприятий при осуществлении мониторинга ИБ, независимо от того, проводится ли такой мониторинг для собственных нужд компании или заказан как услуга при подготовке к оформлению лицензии ФСТЭК. Учитывая, что хакерские атаки по уровню подготовки существенно превышают возможности защиты от них, пентесты должны проводиться адекватными средствами, поэтому поручать их желательно специалистам по информационной безопасности. Если вы заказываете эту услугу у сторонних компаний, у них обязательно должна быть лицензия ФСТЭК на мониторинг ИБ.

Как проводятся пентесты

Различают два типа пентестов:

• whitebox-тесты – проводятся в условиях информированности «хакера» о виде и типах защиты информационной системы, используемых приложениях и архитектуре;
• blackbox-тесты – когда атакующему ничего не известно о системе, и при тестировании он действует как реальный злоумышленник.

Исходя из первичных данных, а также особенностей и потребностей конкретной компании выбирается метод тестирования. На сегодняшний день существует 6 методов, которые в своем роде стандартны для определенных групп информационных систем. Это методы ISSAF, PCI, PTF, PTES, OWASP и OSSTMM. Прежде чем выбрать один из них для пентестов организации необходимо разобраться в нюансах их проведения и потребностях, под которые «заточены» данные методики. Только грамотный мониторинг ИБ и привлечение к делу специалистов по безопасности позволит поддерживать защиту информационной системы компании на должном уровне и реально противостоять кибератакам.

Планируете осуществлять мониторинг информационной безопасности как услугу? Мы поможем оформить лицензию ФСТЭК на мониторинг ИБ и другие виды работ. Звоните!

Нужна косультация по лицензированию ФСТЭК?

Проконсультироваться