Внешний пентест

Что из себя представляет внешний пентест (тестирование на проникновение )

Внешнее тестирование на проникновение — контролируемая имитация атаки на компанию через интернет. Специалисты проверяют, можно ли проникнуть во внутреннюю сеть через общедоступные веб-ресурсы, сетевые сервисы, шлюзы и другие элементы внешнего периметра.

Работы проводятся в согласованных границах и позволяют выявить слабые места до того, как ими воспользуется злоумышленник.

Цель внешнего пентеста — проверить реальную возможность проникновения из интернета во внутреннюю инфраструктуру, получения доступа к критическим системам и конфиденциальным данным, а затем определить приоритеты устранения уязвимостей.

Варианты проведения внешнего пентеста

Что проверяем

• доступные из интернета IP-адреса, домены и поддомены;
• веб-сайты, личные кабинеты, корпоративные порталы и API;
• VPN-шлюзы, почтовые сервисы и системы удалённого доступа;
• DNS, сетевые службы и открытые TCP/UDP-порты;
• межсетевые экраны, балансировщики, WAF и другие средства защиты периметра;
• облачные ресурсы и опубликованные административные интерфейсы;
• возможность развития атаки после компрометации внешнего узла.

Методология и подход

Ручной анализ

Автоматизированные сканеры используются для первичного обследования. Основная часть работ выполняется вручную: специалисты проверяют логику приложений, нестандартные векторы атак и возможность объединения отдельных недостатков в рабочую цепочку эксплуатации.

Многовекторная проверка

Внешний периметр рассматривается на сетевом, прикладном и инфраструктурном уровнях. Задача — не только найти отдельные уязвимости, но и определить, позволяют ли они получить первоначальный доступ и развить атаку.

Методологическая база

• NIST SP 800-115;
• OWASP Web Security Testing Guide;
• PTES — Penetration Testing Execution Standard;
• OSSTMM;
• ГОСТ Р 58143-2018.

В отчёт включаются подтверждённые уязвимости, сценарии эксплуатации, оценка последствий и рекомендации по устранению в порядке критичности. При необходимости выводы подтверждаются скриншотами, журналами сетевых сессий и PoC-кодом.

Проверяемые векторы атак

Нормативная и методическая база

Положение Банка России № 851-П

Требования к тестированию информационной инфраструктуры кредитных организаций и филиалов иностранных банков.

Положение Банка России № 757-П

Требования к тестированию на проникновение и анализу уязвимостей для некредитных финансовых организаций.

Положения Банка России № 821-П и № 808-П

Требования к защите информации при переводах денежных средств и деятельности профессиональных участников финансового рынка.

Методические рекомендации Банка России № 2-МР

Подход к организации и проведению тестирования на проникновение в организациях финансового рынка.

Приказ ФСТЭК России № 117

Требования к защите государственных информационных систем и иных информационных систем государственных органов.

Приказы ФСТЭК России № 17, № 21 и № 31

Требования к защите информации в ГИС, ИСПДн и АСУ ТП, включая выявление и устранение уязвимостей.

ГОСТ Р 58143-2018

Методы тестирования проникновения при анализе уязвимостей программного обеспечения.

Федеральный закон № 152-ФЗ

Оценка эффективности мер защиты информационных систем, обрабатывающих персональные данные.

Этапы работ и результаты