tgСВЯЗАТЬСЯ tg

Внешний пентест

Имитация атаки злоумышленника: проверяем доступные из Интернета ресурсы и показываем, сможет ли злоумышленник «зайти с улицы» и насколько далеко

почему необходим внешний пентест

Внешний пентест представляет собой поиск и практическую реализацию возможных сценариев атак, позволяющих злоумышленнику обойти механизмы защиты и получить доступ "внутрь"

  • 73%
    внешних пентестов заканчиваются проникновением внутрь
  • 91%
    компаний имеют уязвимости на внешнем периметре
  • 4 дня
    в среднем нужно, чтобы преодолеть внешний периметр

Какие проблемы решает внешний пентест

  • Уязвимости остаются незамеченными до инцидента
    Пентест выявляет слабые места раньше злоумышленника и даёт конкретные рекомендации по их устранению. Уязвимость закрывается до того, как обернётся инцидентом и потерями.
  • Периметр известен не полностью
    • На этапе разведки карта периметра собирается заново по открытым источникам, DNS-записям и сертификатам.
    • В итоговом отчете указан полный перечень доступных снаружи ресурсов, включая теневые активы вне учёта.

  • Непонятно, какие уязвимости реально опасны
    Каждая находка проверяется попыткой эксплуатации и подтверждается свидетельствами. На выходе не список потенциальных проблем, а перечень реально работающих уязвимостей с приоритетом устранения.
  • Неясно, к чему приведёт проникновение
    После получения доступа проверяется возможность развития атаки вглубь инфраструктуры. Результат – детализированные сценарии атаки, показывающие максимальный реализуемый ущерб для бизнеса.

Когда нужен внешний пентест

Пентест — это практическая проверка эффективности политик безопасности, внедренных методов и средств защиты данных бизнеса

  • Есть ресурсы, доступные из Интернета

    Сайт, интернет-магазин, личный кабинет, API, почтовые серверы, VPN-шлюзы, облачные сервисы, панели администрирования. Всё, что доступно снаружи, — потенциальная точка входа

  • Запуск или обновление внешнего сервиса

    Создание нового API, портала для партнёров или переезд инфраструктуры в облако. Изменения периметра требуют проверки до того, как их уязвимости найдут другие

  • Внешнее требование провести пентест

    Необходимость в пентесте из-за условий тендера, запроса партнёра или заказчика, требование регуляторов или проверки перед сделкой

  • Смена ИТ-подрядчика или администратора

    Нужна независимая проверка того, что осталось после предыдущей команды: забытые доступы, тестовые стенды, открытые порты

сопутствующие работы

ПРОВЕРЯЕМ БЕЗОПАСНОСТЬ
ПО ДРУГИМ СЦЕНАРИЯМ

  • АНАЛИЗ БЕСПРОВОДНЫХ СЕТЕЙ
    • Проверяем возможность использовать ваши беспроводные сети, как точку входа в инфраструктуру предприятия и оцениваем риски несанкционированного доступа
  • Социотехническое тестирование
    • Оценка уровня осведомленности персонала в вопросах информационной безопасности и устойчивости к фишинговым атакам и последующее обучение
  • АУДИТ информационной безопасности
    • Проверка сетевой безопасности, конфигурации серверов и облачных сервисов

как происходит внешний пентест

  • ЭТАП 1
    Проверяем, какие ресурсы вашей компании доступны в интернете
    • анализируем открытые источники (OSINT): проводим поиск данных о компании в интернете, соцсетях, утекших базах данных
    • ищем ресурсы, принадлежащие Заказчику, утечки данных и другую чувствительную информацию, связанную с Заказчиком
    • выявляем возможные точки входа в систему
  • ЭТАП 2
    Ищем пути проникновения во внутреннюю инфраструктуру
    • проводим автоматизированный и ручной анализ безопасности ресурсов Заказчика, доступных из сети Интернет
    • ищем известные уязвимости в используемых системах и сервисах, а также способы захвата ресурсов на внешнем периметре
    • проверяем слабые места в аутентификации, правах доступа и настройках безопасности
    • проводим атаки, связанные с эксплуатацией уязвимостей
  • ЭТАП 3
    Если доступ получен, проверяем возможность закрепления и дальнейшего развития атаки
    • изучаем полученные права доступа и существующие ограничения
    • оцениваем целесообразность и возможные способы повышения привилегий
    • при наличии возможности повышаем привилегии до уровня, позволяющего выполнять код
    • ищем и при возможности получаем учетные данные для доступа к другим системам и сервисам на скомпрометированном ресурсе
  • ЭТАП 4
    Оцениваем, какие риски есть, как их устранить и что сделать, чтобы подобных ситуаций не возникало в будущем
    • составляем отчет с перечнем выявленных недостатков и их степенью критичности
    • даем рекомендации по устранению обнаруженных недостатков и повышению уровня защиты
    • проводим итоговую встречу с заказчиком и разбираем сценарии атак

наши преимущества

почему выбирают нас

  • Подтвержденная экспертиза

    Экспертиза аналитиков и пентестеров подтверждена сертификатами OSCP, CEH, CND и ISO 27001 Lead Auditor. Команда сочетает практический опыт проведения тестов на проникновение со знанием международных подходов к информационной безопасности

  • 15 лет опыта

    Средний опыт наших специалистов в пентестах и аудитах информационной безопасности составляет 15 лет. За это время команда видела сотни сценариев атак и знает, где искать слабые места в инфраструктуре

  • Надежность

    Деятельность Нейроинформ лицензирована ФСТЭК России. Работы проводятся в согласованных с заказчиком границах, а по результатам клиент получает отчет с выявленными недостатками, оценкой их критичности и рекомендациями по устранению

  • 200+ проектов
    в ИБ

    Команда Нейроинформ реализовала более 200 проектов в области информационной безопасности и защитила более 100 организаций из ритейла, логистики, транспорта, финансовой, телекоммуникационной и других отраслей

начните защищать свою компанию, данные и инфраструктуру

Рассказываем про кейсы защиты реального бизнеса

и делимся лайфхаками 
киберзащиты

Мы используем cookies 🍪 чтобы сайт работал стабильно, а вы получали нужную информацию быстрее. Нажимая «Принять», вы соглашаетесь с нашей Политикой обработки данных.

Кибербезопасность для бизнеса простым языком — подписывайтесь на наш телеграм канал! Подписаться