Почему это важно
Услуги
Анализ защищенности
Выявление максимального числа уязвимостей и недостатков в конкретном приложении или информационной системе. Проводим анализ защищенности мобильных приложений, веб-приложений, информационных систем и беспроводных сетей Wi-Fi
Тестирование на проникновение внешнего периметра
Поиск критичных уязвимостей в системах, веб-приложениях и сервисах, доступных из сети интернет. Позволяет оценить возможность проникновения злоумышленника во внутреннюю сеть или достижения иных согласованных целей и задач
Тестирование на проникновение внутреннего периметра
Поиск критичных уязвимостей в системах, веб-приложениях и сервисах, доступных во внутренней сети. Позволяет оценить возможность злоумышленника развить привилегии во внутренней сети, получить доступ к защищаемым сегментам или достижения иных согласованных целей и задач. Также может проводиться в формате «предполагаемого нарушения», при котором моделируется ситуация, когда у злоумышленников имеется первичный доступ к инфраструктуре. Включает анализ возможных последствий, путей повышения привилегий и распространения атаки
Red Teaming и Purple Teaming
Комплексное тестирование защищенности, при котором группа специалистов (Red Team), используя сложные методы и тактики, близкие к методам реальных киберпреступников, скрытно проводит атаки и оценивает защищенность инфраструктуры и готовность рядовых сотрудников службы информационной безопасности заказчика к целенаправленным атакам на организацию.
Работы можно провести в формате полного сокрытия атак (Red Teaming) или в формате взаимодействия (Purple Teaming)
Анализ защищенности корпоративных ИИ-систем
Комплексная оценка защищенности корпоративных ИИ-систем — от инфраструктуры до механизмов защиты данных. Проверка устойчивости моделей к утечкам и генерации запрещенного контента, а также анализ рисков эксплуатации ИИ с приведением процессов и архитектуры в соответствие с требованиями Приказа ФСТЭК России №117
Анализ защищенности программно-аппаратных комплексов (Hardware Hacking)
Комплексное тестирование устройств Интернета вещей (IoT), промышленных систем (IIoT/OT) и электроники на наличие уязвимостей и недостатков. Оценка защищенности аппаратной части и встроенного ПО путем моделирования реальных сценариев атак
Тестирование методами социальной инженерии
Оценка уровня осведомленности работников в вопросах ИБ. В рамках работ моделируются реалистичные сценарии атак (фишинг, вишинг, попытки физического проникновения) и анализируется поведение сотрудников
Оценка рисков
Репутационные риски
Ответственность
Несоответствие требованиям
Финансовые потери
Справочный раздел
Поможем выбрать услугу, которая решает задачу вашего бизнеса
Результатом проекта является подробный отчет, включающий в себя несколько ключевых разделов:
- краткие результаты проекта для руководства;
- описание поставленных и выполненных задач и целей;
- оценка общего уровня защищенности;
- детальный анализ выявленных уязвимостей с общим и техническим описанием;
- рекомендации по устранению выявленных уязвимостей
Анализ защищенности — мероприятия, нацеленные на выявление максимального количества недостатков и уязвимостей всех уровней критичности в конкретном приложении или информационной системе.
Пентест — мероприятия, нацеленные на выявление критичных уязвимостей и недостатков на всем периметре заказчика с целью оценки возможности проникновения во внутреннюю сеть или достижения иных согласованных целей и задач
Анализ защищенности подойдет тем, кто хочет оценить конкретное приложение или конкретную часть инфраструктуры и выявить там максимальное количество уязвимостей и недостатков.
Тестирование на проникновение больше подойдет для общей оценки защищенности инфраструктуры и средств защиты от потенциального воздействия злоумышленников, а также оценки возможности получения доступа к критичным системам, проникновения во внутреннюю сеть или защищаемый сегмент сети
Длительность работ зависит от типа самих работ, от поставленных задач и сценариев (чем их больше, тем дольше) и от объема приложения/инфраструктуры.
Средняя длительность для различных типов работ, приблизительно такая:
- пентест внешней инфраструктуры — 10–15 рабочих дней
- пентест внутренней инфраструктуры — 10–15 рабочих дней
- анализ защищенности веб/мобильного приложения без сложной ролевой модели — 5–10 рабочих дней
- анализ защищенности веб/мобильного приложения со сложной ролевой модели — 15–20 рабочих дней
- Red Teaming — от 30 рабочих дней
- Purple Teaming — от 20 рабочих дней
Работы стоит проводить при крупных изменениях в инфраструктуре (пентест) или в приложении (анализ защищенности). Крупные зарубежные и российские регуляторы рекомендуют чаще всего такую частоту:
- пентест внешний и внутренний — не менее 1 раза в год, рекомендуемая частота — 2 раза в год;
- анализ защищенности (особенно критичных приложений) — не менее 1 раза в год, рекомендуемая частота — 2 раза в год или при крупных обновлениях
Этапы и результаты
Снимаем потребность и задачу каждого заказчика. Предлагаем различные варианты решения конкретной задачи под бюджет. Предоставляем анкету о технологиях и архитектуре, проводим анализ информации для выявления рисков. Оцениваем трудозатраты и готовим коммерческое предложение со сроками и стоимостью, оформляем договор с NDA
Проводим оценку защищенности объектов с установленными ограничениями для решения поставленной задачи, применяя многоуровневый подход: от автоматизированного сканирования до глубокого анализа. Моделируем реальные атаки и проводим эксплуатацию уязвимостей, соблюдая принцип «не навреди». Предоставляем промежуточные отчеты о ходе работ и выявленных недостатках
После тестирования вы получаете структурированный отчет с присвоением уровней критичности выявленным уязвимостям, наглядную демонстрацию векторов атак с описанием и пошаговыми действиями для эксплуатации уязвимостей, скриншоты с полученными данными или доступами, а также приоритизированные рекомендации с планом мероприятий по повышению защищенности
Готовы помочь с устранением выявленных уязвимостей и реализацией плана мероприятий по повышению защищенности, внедрением и настройкой средств защиты информации с учетом специфики бизнеса, выявленных векторов атак и недостатков