Bezpieczeństwo sieci firmowej

Testy penetracyjne sieci

Testy penetracyjne sieci opierają się na przeprowadzeniu kontrolowanego ataku na infrastrukturę. Atak może obejmować całe podsieci, zawierać różne systemy oraz urządzenia sieciowe. Ten typ testu wykonywany jest w dwóch wariantach:

• Atak na sieć firmową z zewnątrz / testy penetracyjne sieci WAN – przez atakującego z dowolnego miejsca na świecie. Ten typ ataku rozszerzamy o techniki OSINT / białego wywiadu gdzie dodatkowo zbieramy informację o organizacji przydatne do poszerzenia powierzchni ataku. Naszym celem jest wejście do organizacji wykorzystując jedynie usługi sieciowe i aplikację widoczne z sieci Internet.
• Atak na sieć firmową z wewnątrz / testy penetracyjne sieci LAN – przez atakującego, który znalazł się sieci firmowej. Atakującym w wewnątrz może być też pracownik lub jego stacja zainfekowana złośliwym oprogramowaniem. Testujący mogą spróbować również dostać się do sieci wykorzystując dostęp do okablowania strukturalnego, gniazdka ethernetowego czy sieć bezprzewodową

Testy bezpieczeństwa sieci pozwalają na zbadanie jaki jest aktualny stan bezpieczeństwa infrastruktury oraz na identyfikację skutków potencjalnego ataku na sieć firmową. Równie istotne jest zweryfikowanie czy złośliwy ruch sieciowy generowany przez testerów został zauważony i towarzyszącu mu incydent bezpieczeństwa został prawidłowo obsłużony. Wykorzystujemy szereg narzędzi automatycznych w trakcie skanowania sieci ale największą uwagę skupiamy na identyfikacji znalezionych usług i manualnym szukaniu nieodryktych wcześniej poważnych błędów bezpieczeństwa tzw. 0day approach.

Najczęściej wskazywane podatności:

• Brak poprawnie wdrożonej segmentacji sieci
• Domyślne dane dostępowe
• Nieaktualne oprogramowanie zawierające znane podatności

Wynikiem testu jest raport wraz z rekomendacjami dotyczącymi poprawnego wyprowadzenia luk bezpieczeństwa czy też informacjami jak ograniczyć ryzyko wskanych podatności. Raport podzielony jest na trzy sekcje. Pierwsza sekcja jest podusmowaniem wykonanych prac dla zarządu lub kadry kierownicznej. Kolejna sekcja dokładnie opisuje zakres i przebieg prac wraz z lisą wykorzystanych narzędzi. Ostatnia sekcja to lista wykrytych podatności zawięracaja dokładny opis, zebrane w trakcie testu dowody oraz rekomendacje od testera. Podatności w raporcie są posortowane wedle ryzyka która stwarzają dla organizacji i przetwarzanych przez nią danych. Przy określeniu ryzyka posługujemy się motodyką Common Vulnerability Scoring System (CVSS). Wnioski zawarte w raporcie wskazują bazę do dalszych usprawnień aplikacji.