Prowadzone przez nas testy penetracyjne realizujemy w formie kontrolowanych ataków na sieć/ aplikację/ informacje/ systemy informatyczne naszych Klientów. Taka metodologia działania umożliwia nam określenie podatności zasobów Klientów na potencjalne ataki w sposób, który może być wykorzystany przez cyberprzestępców.

Dzięki temu nasi Klienci zyskają odpowiedzi na pytania:

  • Jakie błędy/podatności zidentyfikowano w ich sieci/aplikacji oraz jakie są potencjalne skutki ich wykorzystania przez cyberprzestępców?
  • W jakim stopniu próby ataków są wykrywane poprzez administratorów zatrudnionych przez Klientów, osoby odpowiedzialne za bezpieczeństwo TI czy systemy IDS/IPS itp.?
  • W jaki sposób należy naprawić znalezione błędy/podatności penetracyjne?

Każdorazowo po wykonanych testach penetracyjnych przygotowujemy dla naszych Klientów raport zawierający m.in.:

  • Opis najistotniejszych znalezionych błędów/podatności, w tym opis możliwych do przeprowadzenia przez hakerów ataków na ich infrastrukturę.
  • Podsumowanie wykonanych prac/testów.
  • Rekomendacje środków zaradczych.
Wykonując dla naszych Klientów testy penetracyjne sieci wykorzystujemy m.in. narzędzia:

Skanery podatności  Nexpose/InsightVM oraz OpenVAS;

Oprogramowanie do ataków z wykorzystaniem znanych exploitów – Metasploit Pro;

Skaner podatności WWW – Acunetix PRO;

Nmap, SET, OWASP ZAP.

Testy penetracyjne sieci, jakie oferujemy naszym Klientom mogą być prowadzone według ustalonego wcześniej scenariusza. Ich pierwszym etapem jest określenie optymalnego modelu i celów, jakie chce osiągnąć nasz Klient. Biorąc pod uwagę jego wymagania ustalamy przede wszystkim zasięgu testów (co dokładnie będzie testowane przy pomocy metody penetracyjnej, jakie usługi, sieci). W przypadku testów penetracyjnych wykorzystaniem socjotechniki (inżynierii społecznej). Definiujemy też zasoby ludzkie, które obejmie audyt bezpieczeństwa informacji oraz jego jawności czyli, czy administratorzy będą wiedzieli o ataku. W następnych krokach:

Zbieramy informacje i identyfikujemy cele

Na tym etapie pasywnie zbieramy informacje z publicznie dostępnych źródeł tj.: wyszukiwarki internetowej, bazy whois, rekordów DNS, portali społecznościowych itp. Identyfikujemy również sieci, rodzaj używanej architektury i definiujemy systemy operacyjne, jakie wykorzystuje nasz Klient.

W zależności od wybranego modelu od strony Internetu (WAN) i/lub od strony sieci klienta (LAN) wyszczególniamy cele i ich podatności na ataki

Etap ten polega na aktywnym zbieraniu informacji. Jest to w praktyce pierwszy kontakt z infrastrukturą Klienta i może wpłynąć na działanie jego systemów. Celem tych działań jest wyszczególnienie usług, aplikacji, portów, wykrywanie urządzeń pośredniczących i systemów IDS/IPS a także zapór ogniowych oraz określenie ich podatności/błędów.

Prowadzimy działania z obszaru inżynierii społecznej

W tej fazie, zgodnie z ustaleniami z etapu pierwszego, wykonujemy ataki na zasoby informacji/aplikacje Klienta z wykorzystaniem socjotechniki np. emaili ze złośliwym oprogramowaniem itp.

W zależności od wybranego modelu od strony Internetu (WAN) i/lub od strony sieci klienta (LAN), prowadzimy ataki z wykorzystaniem znanych exploitów

W ramach tego etapu atakujemy infrastrukturę Klienta wykorzystując exploity, które są dostępne w Internecie. Celem tego działania jest uzyskanie dostępu do usług/sieci/informacji/aplikacji Klienta z wykorzystaniem wykrytych wcześniej podatności.

Audyt bezpieczeństwa

Audyt bezpieczeństwa aplikacji, informacji i systemów informatycznych w firmie naszego Klienta pozwala zweryfikować sposób funkcjonowania jego rozwiązań techniczno-organizacyjnych z wytycznymi/normami w zakresie ochrony przetwarzanych danych. W wyniku przeprowadzonego audytu, firma naszego Klienta otrzyma raport podatności/niezgodności zawierający precyzyjny opis znalezionych błędów/niezgodności wraz z rekomendacją środków zaradczych.

Cel audytu:​

Audyt bezpieczeństwa systemów informatycznych i aplikacji pozwala zweryfikować funkcjonowanie rozwiązań techniczno-organizacyjnych z wytycznymi/normami w zakresie bezpieczeństwa przetwarzanych danych.

Korzyści:

  • Sprawdzenie zgodności stosowanych rozwiązań techniczno-organizacyjnych z wytycznymi/normami.
  • Poznanie rekomendowanych środków zaradczych.
  • Podniesienie bezpieczeństwa przetwarzanych danych.