Тестирование на проникновение в инфраструктуру аэрокосмического университета

Национальный российский научно-исследовательский университет в сфере аэрокосмических технологий обратился в КРЕДО-С с целью найти все известные и неизвестные уязвимости и недостатки своих информационных систем, способные привести к нарушению конфиденциальности, целостности и доступности информации в ИТ-инфраструктуре организации. Задача проекта — определить уязвимости и недостатки различного уровня риска в информационных системах, способные привести к нарушению свойств информационной безопасности, и сформировать рекомендации по повышению уровня защищенности. Срок реализации проекта — 4 квартал 2023 года.

Специалисты КРЕДО-С предложили провести тестирование на проникновение (пентест) с использованием метода «серого ящика». Метод предполагает целенаправленную и эффективную оценку безопасности сети, при этом внутреннее устройство ИТ-системы частично известно сотрудникам, выполняющим работы. Этапы реализации проекта: 1) сбор сведений о структуре и всех компонентах исследуемой системы заказчика; 2) выявление уязвимостей в системе с помощью автоматического сканирования с ручной верификацией результатов; 3) тест на проникновение по векторам, согласованным с заказчиком — попытка получения доступа к данным и интерфейсам управления; 4) анализ результатов выполнения атак, сбор и обобщение данных.

По результатам проведённых работ для заказчика был сформирован развёрнутый отчёт, содержащий: оценку состояния защищённости системы; описание выявленных уязвимостей, ранжирование их по степени потенциальной опасности, вероятности использования, описание последствий эксплуатации потенциальным нарушителем; рекомендации по устранению выявленных уязвимостей, в том числе рекомендации по изменению конфигурации и настроек оборудования, используемых защитных механизмов и программных средств, принятию дополнительных мер и применению дополнительных средств защиты, по установке необходимых обновлений для используемого программного обеспечения.