Аудит инфраструктуры, автоматизация pentest

Ни одна инфраструктура (сеть) организации не остается статической и проживает свою «жизнь» с момента создания, потом модернизации, развития и снова развития и модернизации. Каждый раз, когда добавляется новый бизнес-процесс, а под него сервис или появляется новый сотрудник, то структура компании изменяется и требуется «сверить часы» — посмотреть, насколько она на самом деле защищена и вообще соответствует лучшим практикам по безопасности.

Существует несколько видов аудита инфраструктуры:

• инструментальный аудит;
• полностью ручной аудит— «тест на проникновение»;
• комбинация (автоматизированный) аудит;
• и развитием этого является автоматический регулярный аудит.

Инструментальный аудит подразумевает использование программных (и реже аппаратных) комплексов сканирования на предмет выявления уязвимостей. Типичными примерами таких средств могут быть Positive xSpider, MaxPatrol, Nessus, Aqunetics и другие.

Недостатком этого вида сканирования является то, что мы получаем слишком общую картину о защищенности сети нашей компании, а в многостраничном отчете сканера безопасности будет много ложных срабатываний.

Полностью ручной аудит - это дорогая услуга, называемая еще "тестом на проникновение" (или пентестом - от английского "penetration test", pentest), когда под проект выделяется специалист, который полностью в ручном режиме эмалирует работу хакера, пытающегося проникнуть в сеть компании. Отдельно по согласованию могут применяться даже средства "социальной инженерии". Тестирование проходит по методу "белого", "серого" или "черного ящика" - определяется количеством информации, которое специалист знает до начала тестирования. Иногда в рамках теста приходится даже писать эксплоиты и анализировать уязвимости с нуля. А поскольку ни одной на 100% невзламываемой сети не существует, то такого рода аудиты, как правило, заканчиваются детальным отчетом об успешных результатах взлома и пути потенциального хакера, которым тот может воспользоваться для проникновения.

Автоматизированный аудит - на самом деле это комбинация первого и второго методов. То есть с помощью инструментального средства - сканера безопасности - мы проводим процедуру тестирования на регулярной основе, при этом учитываем некоторые особенности сканируемой инфраструктуры: тип операционных систем, установленные программы и сервисы, взаимосвязи компонент сети между собой. В разном объеме такие механизмы сегодня есть почти во всех сканерах безопасности.

Наконец, автоматический аудит - в этом случае для анализа уязвимостей мы применяем подход на основе автоматизации, но целью является выявление конкретных возможных векторов проникновения нарушителей в нашу сеть: объединяем простой и дешевый вариант сканера уязвимостей с очень дорогим тестом на проникновение. В этом случае в инфраструктуре устанавливается специализированное решение - PcySys Pentera, которая ведет себя как хакер, но при этом содержит специальные механизмы, не позволяющие нарушить работоспособность сети и сервисов - это один из приоритетов.

Сканирование производится по расписанию, заданному администратором, а на выходе Pentera выдает готовые "связки" - это путь злоумышленника, которым он мог бы воспользоваться для кражи информации из сети компании.