Тестирование на проникновение

Тестирование на проникновение (пентест) — комплекс мероприятий по оценке защищённости информационных систем путём имитации действий реального злоумышленника. В отличие от анализа защищённости, пентест предполагает активную эксплуатацию обнаруженных уязвимостей для демонстрации реальных рисков и оценки возможного ущерба.

Тестирование на проникновение входит в перечень мер защиты информации по приказам ФСТЭК 17/117 и 239, а также является требованием Указа Президента РФ № 250 от 01.05.2022 для ключевых предприятий. Результаты пентеста используются при расчёте показателя защищённости КЗИ по приказу ФСТЭК №117 и при оценке соответствия ГОСТ 57580 для финансовых организаций.

КРЕДО-С проводит тестирование на проникновение по трём основным методологиям:

Black Box — тестирование без предварительной информации об инфраструктуре, имитирует действия внешнего злоумышленника. Специалисты проводят разведку из открытых источников (OSINT), сканирование внешнего периметра, поиск и эксплуатацию уязвимостей в публичных сервисах, попытки проникновения через граничные устройства.

Gray Box — предоставляется частичная информация (учётные записи пользователей, доступ к внутренней сети), моделируется инсайдерская угроза. Оценивается возможность горизонтального перемещения злоумышленника внутри корпоративной сети, повышения привилегий, доступа к критичным ресурсам. Этот сценарий наиболее приближен к реальным условиям компрометации.

White Box — предоставляется полная информация об архитектуре, исходные коды приложений, документация. Обеспечивает максимально глубокую проверку, выявление скрытых уязвимостей, анализ логики приложений.

Направления пентеста: тестирование внешнего периметра (веб-серверы, почтовые серверы, VPN-шлюзы), тестирование внутреннего периметра (Active Directory, сетевая инфраструктура, критичные серверы), pentest веб-приложений по методологии OWASP Top 10 (SQL-инъекции, XSS, CSRF, небезопасные настройки), тестирование беспроводных сетей (Wi-Fi, Bluetooth), пентест мобильных приложений (iOS, Android, анализ API).

По итогам тестирования на проникновение предоставляется детальный отчёт с описанием найденных уязвимостей, доказательствами их эксплуатации (скриншоты, логи, видеозаписи), оценкой критичности по CVSS и практическими рекомендациями по устранению. Проводится повторное тестирование после устранения критичных уязвимостей.

Специалисты КРЕДО-С имеют сертификации OSCP, CEH, регулярно участвуют в CTF-соревнованиях и профильных конференциях по кибербезопасности. Компания имеет лицензии ФСТЭК и ФСБ России.