PT Penetration Testing Report (sample)
Download as DOC, PDF2 likes2,864 views
Документ представляет собой отчет о тестировании на проникновение информационной инфраструктуры ОАО 'Рога и Копыта', выполненном для оценки уровня безопасности корпоративной информационной системы. В ходе аудита были выявлены уязвимости, позволившие получить несанкционированный доступ к различным внутренним и внешним ресурсам, что может повлечь угрозы для бизнес-процессов и утечку коммерческой информации. Специальные рекомендации по устранению выявленных уязвимостей и повышению уровня осведомленности сотрудников также были предложены в отчете.
![Коммерческая тайна ОАО «Рога и Копыта»
Россия, 123456, Москва, ул. XXXXX
2.2 Методика проведения работ
Работы проводились без уведомления администраторов ИС методом
«черного ящика» 1 от имени внешнего злоумышленника. При проведении
работ специалисты исполнителя придерживались принципа минимизации
нарушения доступности ресурсов ИС Заказчика.
Под понятием «внешний злоумышленник» подразумевается лицо или
группа лиц, состоящих или не состоящих в сговоре, которые в результате
предумышленных или непредумышленных действий потенциально могут
нанести ущерб информационным ресурсам Заказчика. Для определения
типа злоумышленника использовалась классификация, разработанная
Исполнителем (см. раздел 7 на стр. 23).
Для выполнения работ был выбран следующий тип злоумышленника:
[M4-Q6-P1-AE1-AN1-AT1-SI1] – злоумышленник, мотивированный
коммерческим интересом, целью которого является определенный актив,
не имеющий физического и логического доступа к ИС, с практически
полным отсутствием знаний об исследуемой ИС и квалификацией – хакер.
При проведении работ по анализу защищенности беспроводных сетей у
злоумышленника повысился уровень физического доступа [P3] до уровня
доступа внутри периметра защиты и злоумышленник получил тип - [M4-
Q6-P3-AE1-AN1-AT1-SI1].
Помимо этого рассматривался близкий к вышеописанному тип
злоумышленника [M2-Q2-P1-AE1-AN1-AT1-SI1], уровень квалификации
которого колеблется от [Q1] до [Q2]. К данному типу злоумышленников
относятся группы хакеров (обычно подростков), которые, взламывая
Интернет-сайты различных организаций, совершают свои действия из
хулиганских побуждений, редко преследуя какую-либо коммерческую
выгоду.
Целью специалистов Исполнителя было повышение уровня знаний о
системе [SI] и уровня логического доступа [AT] до максимально
возможного.
1
Принцип «черного ящика» заключается в проведении работ по оценке защищенности ИС без
предварительного получения какой-либо информации со стороны Заказчика об исследуемой
ИС.
Тестирование на проникновение Страница 6 из 24](https://image.slidesharecdn.com/ptpenetrationtesting-100223101003-phpapp02/85/PT-Penetration-Testing-Report-sample-6-320.jpg)
![Коммерческая тайна ОАО «Рога и Копыта»
Россия, 123456, Москва, ул. XXXXX
3 Результаты работ
В ходе выполнения работ специалистам Исполнителя удалось обойти
защитные механизмы и осуществить несанкционированный доступ к
информационным системам, обрабатывающим информацию разного
уровня конфиденциальности. В том числе успешно осуществлен НСД ко
всем внутренним и внешним ресурсам (в том числе к серверу XYZ ) ИС в
соответствии с пожеланиями Заказчика в ходе проведения работ
Исполнителем. Таким образом, злоумышленник получил тип [M4-Q6-P3-
AE4-AN5-AT3-SI5].
По оценке Исполнителя использование обнаруженных недостатков может
привести к нарушению непрерывности бизнес-процессов
Заказчика и к утечке сведений, относящихся к коммерческой
тайне Заказчика. В ходе выполнения работ специалистами Исполнителя
была продемонстрирована возможность эксплуатации различных
векторов атаки, которые приводят к указанным последствиям.
В результате выполнения работ специалистам Исполнителя удалось:
• получить административные привилегии во всех доменах, на
всех почтовых серверах и рабочих станциях путем получения
административных привилегий в качестве Enterprise Admin в
доменах XX1.YY1 (ЦО, XXXX), XX2.YY2 (РО, XXXX).
• осуществить НСД к серверу XYZ, обрабатывающему наиболее
важную для Заказчика информацию.
• получить уровень доступа privileges_15 на магистральных
каналах связи.
• получить доступ к системе SAP с различными привилегиями (в
частности к модулю XXYY с привилегиями AABBCC).
• продемонстрировать возможность получения НСД через
беспроводное соединение к ИС ЦО (XXXX) с использованием
уязвимостей на рабочих станциях сотрудников Заказчика.
• продемонстрировать недостаточную осведомленность
сотрудников Заказчика в вопросах, связанных с обеспечением
информационной безопасности.
• осуществить доступ к официальному сайту Заказчика
(www.XXXX.ru) с правами администратора web-приложения.
• XXXX YYYY ZZZZ
Тестирование на проникновение Страница 10 из 24](https://image.slidesharecdn.com/ptpenetrationtesting-100223101003-phpapp02/85/PT-Penetration-Testing-Report-sample-10-320.jpg)
PT Penetration Testing Report (sample)
- 1. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX ТЕСТИРОВАНИЕ НА ПРОНИКНОВЕНИЕ ИТ- ИНФРАСТРУКТУРЫ ОАО «РОГА И КОПЫТА» ОТЧЕТ О РАБОТАХ
- 2. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX ОГЛАВЛЕНИЕ 1 ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ ...............................................................................4 2 ВВЕДЕНИЕ ..................................................................................................................5 2.1 Цель проведения работ ......................................................................................5 2.2 Методика проведения работ ............................................................................6 3 РЕЗУЛЬТАТЫ РАБОТ ...............................................................................................10 4 ОПИСАНИЕ ХОДА РАБОТ .........................................................................................16 4.1 Исследование сетевого периметра ИС ............................................................16 4.1.1 Идентификация сетевого периметра ........................................................16 4.1.2 Исследование системы DNS .......................................................................16 4.1.3 Сканирование портов узлов ......................................................................16 4.1.4 Уязвимости сетевых узлов .........................................................................16 4.2 Анализ защищенности сетевых устройств ......................................................16 4.2.1 Осуществление НСД к сетевому оборудованию ......................................16 4.2.2 Осуществление НСД в технологическую сеть .........................................17 4.3 Анализ защищенности web-приложений ........................................................17 4.3.1 Анализ защищенности web-ресурса XXX ..................................................18 4.3.2 Анализ защищенности web-ресурса YYY ..................................................18 4.3.3 Анализ защищенности web-ресурса ZZZ ..................................................18 4.4 Анализ защищенности ИС РО XXXX .................................................................19 4.4.1 Исследование ИС РО, XXXX .......................................................................19 4.4.2 Аудит ИС РО, XXXX .....................................................................................19 4.5 Анализ защищенности ИС ЦО, XXXX ...............................................................19 Тестирование на проникновение Страница 2 из 24
- 3. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 4.5.1 Исследование ИС ЦО, XXXX .......................................................................19 4.5.2 Получение доступа к серверу XYZ ............................................................19 4.5.3 Анализ защищенности беспроводных сетей в ЦО, XXXX ........................20 4.5.4 Аудит ИС ЦО, XXXX .....................................................................................20 4.6 Сравнение результатов аудита между ИС ЦО, XXXX и ИС РО, XXXX ............21 4.7 Оценка осведомленности сотрудников Заказчика в вопросах ИБ ...............22 5 ПРИЛОЖЕНИЕ А. ИСПОЛЬЗУЕМАЯ КЛАССИФИКАЦИЯ ПРИ ОЦЕНКЕ ИС ПО ВЕКТОРАМ ПРОНИКНОВЕНИЯ ....................................................................................23 6 ПРИЛОЖЕНИЕ B. ОЦЕНКА МЕХАНИЗМОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ 23 7 ПРИЛОЖЕНИЕ C. КЛАССИФИКАЦИЯ ЗЛОУМЫШЛЕННИКОВ .................................23 8 ПРИЛОЖЕНИЕ D. РЕКОМЕНДАЦИИ ПО УСТРАНЕНИЮ УЯЗВИМОСТЕЙ В WEB- ПРИЛОЖЕНИЯХ ...........................................................................................................23 8.1 Уязвимости типа «Внедрение операторов SQL» ............................................23 8.2 Уязвимости типа «Межсайтовое выполнение сценариев» ............................23 8.3 Уязвимости типа XYZ ........................................................................................24 9 ПРИЛОЖЕНИЕ E. ДОПОЛНИТЕЛЬНЫЕ МАТЕРИАЛЫ ..............................................24 9.1 Приложение 1: Анализ используемых пользователями ИС паролей ..........24 Тестирование на проникновение Страница 3 из 24
- 4. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 1 Обозначения и сокращения ЗИ - защита информации ИБ - информационная безопасность ИР - информационные ресурсы ИС - информационная система НСД - несанкционированный доступ СУИБ - система управления информационной безопасностью МСЭ - межсетевой экран ДМЗ - демилитаризованная зона ОС - операционная система ЦО - центральный офис РО - региональный офис ЛВС - локальная вычислительная сеть Тестирование на проникновение Страница 4 из 24
- 5. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 2 Введение Согласно договору №XXX-XX от XX.XX.20XX г. между ЗАО «Позитив Текнолоджиз» (далее – Исполнитель) и ОАО «Рога и Копыта» (далее – Заказчик) в XXXX 20XX года выполнялись работы по аудиту безопасности корпоративной информационной системы ОАО «Рога и Копыта» (далее - ИС). Данный документ содержит экспертное заключение о результатах аудита и оценку защищенности ИС Заказчика, выполненную специалистами Исполнителя. 2.1Цель проведения работ Целью проводимых работ являлось повышение защищенности ИС Заказчика путем: получения независимой оценки текущего уровня защищенности ИС от атак со стороны сети Интернет; получения оценки защищенности внешних Web-приложений; получения оценки эффективности мер по противодействию атакам с использованием методов социальной инженерии; получения оценки уровня осведомленности сотрудников Заказчика в вопросах информационной безопасности; демонстрации возможности получения НСД к внутренним информационным ресурсам Заказчика за счет эксплуатации одной или нескольких выявленных уязвимостей на внешнем периметре ИС со стороны сети Интернет; разработки рекомендаций по повышению уровня защищенности внешнего периметра ИС и устранению выявленных уязвимостей в ИС Заказчика. Тестирование на проникновение Страница 5 из 24
- 6. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 2.2 Методика проведения работ Работы проводились без уведомления администраторов ИС методом «черного ящика» 1 от имени внешнего злоумышленника. При проведении работ специалисты исполнителя придерживались принципа минимизации нарушения доступности ресурсов ИС Заказчика. Под понятием «внешний злоумышленник» подразумевается лицо или группа лиц, состоящих или не состоящих в сговоре, которые в результате предумышленных или непредумышленных действий потенциально могут нанести ущерб информационным ресурсам Заказчика. Для определения типа злоумышленника использовалась классификация, разработанная Исполнителем (см. раздел 7 на стр. 23). Для выполнения работ был выбран следующий тип злоумышленника: [M4-Q6-P1-AE1-AN1-AT1-SI1] – злоумышленник, мотивированный коммерческим интересом, целью которого является определенный актив, не имеющий физического и логического доступа к ИС, с практически полным отсутствием знаний об исследуемой ИС и квалификацией – хакер. При проведении работ по анализу защищенности беспроводных сетей у злоумышленника повысился уровень физического доступа [P3] до уровня доступа внутри периметра защиты и злоумышленник получил тип - [M4- Q6-P3-AE1-AN1-AT1-SI1]. Помимо этого рассматривался близкий к вышеописанному тип злоумышленника [M2-Q2-P1-AE1-AN1-AT1-SI1], уровень квалификации которого колеблется от [Q1] до [Q2]. К данному типу злоумышленников относятся группы хакеров (обычно подростков), которые, взламывая Интернет-сайты различных организаций, совершают свои действия из хулиганских побуждений, редко преследуя какую-либо коммерческую выгоду. Целью специалистов Исполнителя было повышение уровня знаний о системе [SI] и уровня логического доступа [AT] до максимально возможного. 1 Принцип «черного ящика» заключается в проведении работ по оценке защищенности ИС без предварительного получения какой-либо информации со стороны Заказчика об исследуемой ИС. Тестирование на проникновение Страница 6 из 24
- 7. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX В ходе проведения работ допускалась эксплуатация (по согласованию) выявленных уязвимостей и разрешалось нарушение целостности и конфиденциальности обрабатываемой информации в ИС Заказчика. Процесс проведения работ был построен следующим образом: Получение предварительной информации о сети Заказчика. Использовались те же источники информации, которые доступны злоумышленникам (Интернет, новости, конференции). На основе собранной информации, специалистами Исполнителя было выполнено: • Выявление активных узлов (сканирование сетевых портов) и составление списка доступных ресурсов (DNS, Mail, Web и пр.). • Идентификация версий запущенных сетевых служб и приложений с целью определения известных уязвимостей. • Анализ web-приложений Заказчика. С помощью автоматизированных утилит и ручными методами анализировались следующие уязвимости: внедрение операторов SQL (SQL Injection), межсайтовое выполнение сценариев (Cross-Site Scripting), подмена содержимого (Content Spoofing), выполнение команд ОС (OS Commanding), уязвимости, связанные с некорректной настройкой механизмов аутентификации и авторизации, и др. • Попытка осуществления НСД к ресурсам ИС за счет эксплуатации одной или нескольких выявленных уязвимостей в ИС Заказчика. • Расширение прав доступа и сбор информации на уязвимых узлах. Проведение социотехнического тестирования и оценка осведомленности пользователей ИС. Анализ собранной информации и разработка аналитического отчета о проведенном исследовании ИС. Разработка рекомендаций по исправлению найденных уязвимостей и ликвидации выявленных угроз. Тестирование на проникновение Страница 7 из 24
- 8. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX Процесс исследования ИС Заказчика в рамках проводимых специалистами Исполнителя работ был построен таким образом, чтобы охватить все основные объекты атаки в ИС Заказчика (см. Рис. 1). Сетевая инфраструктура; Беспроводные сети; Серверные системы; Web-приложения; Рабочие станции сотрудников. В ходе выполнения работ специалисты Исполнителя использовали методики и инструменты собственной разработки, а также передовой опыт авторитетных организаций, таких как Open Source Security Testing Methodology Manual (OSSTMM), Standards for Information Systems Auditing (ISACA), Web Application Security Consortium (WASC), Open Web Application Security Project (OWASP). Тестирование на проникновение Страница 8 из 24
- 9. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX Уязвимости рабочих мест пользователей Недостатки сетевой Уязвимости архитектуры беспроводных сетей Недостатки сетевых служб и СУБД Уязвимости Web- приложений Рабочее место исследователя Рис. 1 Процесс исследования ИС Тестирование на проникновение Страница 9 из 24
- 10. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 3 Результаты работ В ходе выполнения работ специалистам Исполнителя удалось обойти защитные механизмы и осуществить несанкционированный доступ к информационным системам, обрабатывающим информацию разного уровня конфиденциальности. В том числе успешно осуществлен НСД ко всем внутренним и внешним ресурсам (в том числе к серверу XYZ ) ИС в соответствии с пожеланиями Заказчика в ходе проведения работ Исполнителем. Таким образом, злоумышленник получил тип [M4-Q6-P3- AE4-AN5-AT3-SI5]. По оценке Исполнителя использование обнаруженных недостатков может привести к нарушению непрерывности бизнес-процессов Заказчика и к утечке сведений, относящихся к коммерческой тайне Заказчика. В ходе выполнения работ специалистами Исполнителя была продемонстрирована возможность эксплуатации различных векторов атаки, которые приводят к указанным последствиям. В результате выполнения работ специалистам Исполнителя удалось: • получить административные привилегии во всех доменах, на всех почтовых серверах и рабочих станциях путем получения административных привилегий в качестве Enterprise Admin в доменах XX1.YY1 (ЦО, XXXX), XX2.YY2 (РО, XXXX). • осуществить НСД к серверу XYZ, обрабатывающему наиболее важную для Заказчика информацию. • получить уровень доступа privileges_15 на магистральных каналах связи. • получить доступ к системе SAP с различными привилегиями (в частности к модулю XXYY с привилегиями AABBCC). • продемонстрировать возможность получения НСД через беспроводное соединение к ИС ЦО (XXXX) с использованием уязвимостей на рабочих станциях сотрудников Заказчика. • продемонстрировать недостаточную осведомленность сотрудников Заказчика в вопросах, связанных с обеспечением информационной безопасности. • осуществить доступ к официальному сайту Заказчика (www.XXXX.ru) с правами администратора web-приложения. • XXXX YYYY ZZZZ Тестирование на проникновение Страница 10 из 24
- 11. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX Выявленные бизнес-риски: • нарушение доступности ВСЕХ информационных ресурсов ИС Заказчика (ЦО XXXX, РО XXXX), включая технологические сети XXXX. • получение доступа к системам, критически важным для бизнес- процессов (серверы XYZ , ZYX и пр.) • Проникновение во внутреннюю сеть Заказчика: o получение доступа ко всем внутренним ресурсам (коммерческая информация, электронная почта, файловые хранилища, базы данных и т.д.); o получение доступа к магистральному оборудованию с максимальными привилегиями; o получение доступа к доменам XX1.YY1 (ЦО, XXXX), XX2.YY2 (РО XXXX), XX3.YY3 (РО XXXX) с максимальными привилегиями Enterprise Admin (контроль над всеми информационными потоками в ИС Заказчика ). Основные результаты работ по каждому из этапов приведены в Табл. 1. Тестирование на проникновение Страница 11 из 24
- 12. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX Табл. 1 Основные результаты Этап работ Результат Степень риска Результат 1 Результат 2 Исследование сетевого периметра ИС Критический … Результат N Результат 1 Анализ защищенности сетевых устройств Результат 2 Критический … Результат N Результат 1 Результат 2 Анализ защищенности web-приложений Критический … Результат N Результат 1 Результат 2 Анализ защищенности беспроводных сетей Критический … Результат N Результат 1 Результат 2 Оценка осведомленности сотрудников Заказчика Высокий в вопросах информационной безопасности … Результат N Результат 1 Результат 2 Анализ защищенности внутренних сетей Высокий … Результат N Для оценки состояния ИБ Заказчика по векторам проникновения в ИС Тестирование на проникновение Страница 12 из 24
- 13. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX использовалась классификация, разработанная Исполнителем (см. раздел 5 на стр. 23). В соответствии с ней текущее состояние ИБ Заказчика находится на уровне, близкому к самому низкому (см. Табл. 2). Табл. 2 Оценка состояния ИБ Заказчика по векторам проникновения Вектор проникновения Текущее состояние Оценка Сетевая инфраструктура Описание состояния уровня 2 2 Сетевые устройства Описание состояния уровня 1 1 Беспроводные сети Описание состояния уровня 2 2 Сетевые службы и СУБД Описание состояния уровня 2 2 Web-приложения Описание состояния уровня 2 2 Рабочие места Описание состояния уровня 3 3 пользователей Рис. 2 Оценка состояния ИБ Заказчика по векторам проникновения Полученные в ходе выполнения работ данные использовались Исполнителем для оценки применяемых Заказчиком механизмов обеспечения информационной безопасности. Оценка производилась в соответствии с приведенной в разделе 6 на стр. 23 классификацией. Результаты оценки показывают, что текущий уровень реализации этих механизмов близок к минимальному (см. Табл. 3). Тестирование на проникновение Страница 13 из 24
- 14. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX Табл. 3 Оценка применяемых Заказчиком механизмов обеспечения ИБ Применяемый механизм Текущее состояние Оценка обеспечения ИБ Управление конфигурацией Описание состояния уровня 3 3 Управление межсетевыми Описание состояния уровня 2 2 экранами Управление учетными Описание состояния уровня 3 3 записями Управление Описание состояния уровня 2 2 аутентификацией Безопасность персональных Описание состояния уровня 2 2 данных пользователей Осведомленность Описание состояния уровня 2 2 пользователей Антивирусная защита Описание состояния уровня 3 3 Управление уязвимостями и Описание состояния уровня 2 2 обновлениями Управление инцидентами Описание состояния уровня 2 2 Криптографическая защита Описание состояния уровня 2 2 Тестирование на проникновение Страница 14 из 24
- 15. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX Рис. 3 Оценка применяемых Заказчиком механизмов обеспечения ИБ Подобная оценка обусловлена тем, что СУИБ Заказчика реализована не в полном объеме. Существующие процессы в СУИБ Заказчика являются неэффективными в настоящее время и не отвечают требованиям бизнеса. XXX ZZZ Тестирование на проникновение Страница 15 из 24
- 16. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 4 Описание хода работ 4.1Исследование сетевого периметра ИС Описание этапа… 4.1.1 Идентификация сетевого периметра Подробное описание, каким образом и из каких источников была собрана информация… 4.1.2 Исследование системы DNS Описание… 4.1.3 Сканирование портов узлов Описание, общая картина обнаруженных сервисов… 4.1.4 Уязвимости сетевых узлов Описание, общая картина инструментального исследования, подробное описание выявленных уязвимостей и способов их устранения прилагаются на DVD-диск… 4.2Анализ защищенности сетевых устройств Описание этапа… 4.2.1 Осуществление НСД к сетевому оборудованию Подробное описание хода работ, выявленных уязвимостей, ранжирование их по степени потенциальной опасности, результаты от их использования, способы устранения, уровень полученных привилегий и полученный уровень знаний об ИС. Тестирование на проникновение Страница 16 из 24
- 17. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 4.2.2 Осуществление НСД в технологическую сеть Подробное описание хода работ, выявленных уязвимостей, ранжирование их по степени потенциальной опасности, результаты от их использования, способы устранения, уровень полученных привилегий и полученный уровень знаний об ИС. 4.3Анализ защищенности web-приложений Описание этапа, аналитика… Рис. 4 Распределение уязвимостей в web-приложениях по категориям На Рис. 5 показано распределение уязвимостей по причинам их возникновения. Тестирование на проникновение Страница 17 из 24
- 18. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX Рис. 5 Распределение уязвимостей в web-приложениях по причинам их возникновения Аналитика, совокупная таблица по всем обнаруженным уязвимостям… 4.3.1 Анализ защищенности web-ресурса XXX Результат использования наиболее критических уязвимостей, таблица с подробным описанием каждой обнаруженной уязвимости, ранжирование их по степени потенциальной опасности, способы их устранения. 4.3.2 Анализ защищенности web-ресурса YYY Результат использования наиболее критических уязвимостей, таблица с подробным описанием каждой обнаруженной уязвимости, ранжирование их по степени потенциальной опасности, способы их устранения. 4.3.3 Анализ защищенности web-ресурса ZZZ Результат использования наиболее критических уязвимостей, таблица с подробным описанием каждой обнаруженной уязвимости, ранжирование их по степени потенциальной опасности, способы их устранения. Тестирование на проникновение Страница 18 из 24
- 19. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 4.4Анализ защищенности ИС РО XXXX Описание этапа… 4.4.1 Исследование ИС РО, XXXX Подробное описание хода работ, выявленных уязвимостей, ранжирование их по степени потенциальной опасности, результаты от их использования, способы устранения, уровень полученных привилегий и полученный уровень знаний об ИС. 4.4.2 Аудит ИС РО, XXXX Аналитика, на основе собранных данных… 4.5Анализ защищенности ИС ЦО, XXXX Описание этапа… 4.5.1 Исследование ИС ЦО, XXXX Подробное описание хода работ, выявленных уязвимостей, ранжирование их по степени потенциальной опасности, результаты от их использования, способы устранения, уровень полученных привилегий и полученный уровень знаний об ИС. 4.5.2 Получение доступа к серверу XYZ Подробное описание хода работ, выявленных уязвимостей, ранжирование их по степени потенциальной опасности, результаты от их использования, способы устранения, уровень полученных привилегий и полученный уровень знаний об ИС. Дополнительные материалы на прилагаемом DVD-диске: С дополнительными материалами можно ознакомиться, обратившись к каталогу «XYZ» на прилагаемом к отчету DVD- диске. Тестирование на проникновение Страница 19 из 24
- 20. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX Видео демонстрация на прилагаемом DVD-диске: С видео-материалом можно ознакомиться, обратившись к каталогу «XYZ» на прилагаемом к отчету DVD-диске. 4.5.3 Анализ защищенности беспроводных сетей в ЦО, XXXX Подробное описание хода работ, выявленных уязвимостей, ранжирование их по степени потенциальной опасности, результаты от их использования, способы устранения, уровень полученных привилегий и полученный уровень знаний об ИС. 4.5.4 Аудит ИС ЦО, XXXX Аналитика, на основе собранных данных… Рис. 6 Сравнение состояние ИБ ИС Заказчика с CIS Windows 2003 (1) Аналитика… Тестирование на проникновение Страница 20 из 24
- 21. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 4.6Сравнение результатов аудита между ИС ЦО, XXXX и ИС РО, XXXX Аналитика, на основе собранных данных… Интегральная уязвимость определяется по формуле: N5 * 5 + N3 * 3 + N4 + N2 + N1 , где: N5 - количество серьезных уязвимостей N4 - количество подозрений на уязвимость высокого уровня N3 - количество уязвимостей среднего уровня N2 - количество подозрений на уязвимость среднего уровня N1 - количество уязвимостей низкого уровня Рис. 7 Сравнение состояния защищенности между ИС ЦО, XXXX и ИС РО, XXXX Аналитика… Тестирование на проникновение Страница 21 из 24
- 22. Коммерческая тайна ОАО «Рога и Копыта» Россия, 123456, Москва, ул. XXXXX 4.7Оценка осведомленности сотрудников Заказчика в вопросах ИБ оценка эффективности программы повышения осведомленности сотрудников Заказчика; статистика по каждому из типов атаки и действиям пользователей (по целевым группам, регионам и т.д.); информация о сотрудниках, ненадлежащим образом выполняющих требования по обеспечению ИБ. Тестирование на проникновение Страница 22 из 24
- 23. 5 Приложение А. Используемая классификация при оценке ИС по векторам проникновения Подробное описание… 6 Приложение B. Оценка механизмов информационной безопасности Подробное описание… 7 Приложение C. Классификация злоумышленников Подробное описание… 8 Приложение D. Рекомендации по устранению уязвимостей в web- приложениях 8.1Уязвимости типа «Внедрение операторов SQL» Подробное описание… 8.2Уязвимости типа «Межсайтовое выполнение сценариев» Подробное описание…
- 24. 8.3Уязвимости типа XYZ Подробное описание… 9 Приложение E. Дополнительные материалы 9.1Приложение 1: Анализ используемых пользователями ИС паролей Аналитика отдельным документом.