Что такое внутренний пентест (тестирование на проникновение)


Внутреннее тестирование на проникновение — контролируемая имитация действий нарушителя, который уже получил доступ к корпоративной сети. Специалисты проверяют, может ли инсайдер, заражённое устройство или злоумышленник с первоначальным доступом повысить привилегии, перемещаться между сегментами и получить доступ к критическим системам и данным.

Работы проводятся в согласованных границах с учётом критичности инфраструктуры и ограничений на воздействие. Проверка позволяет оценить, насколько эффективно сегментация, разграничение доступа и средства защиты сдерживают развитие атаки внутри периметра.

Варианты проведения внутреннего пентеста

Black Box
Специалисты получают подключение к внутренней сети без сведений об архитектуре, узлах и учётных записях. Модель имитирует действия рядового сотрудника либо злоумышленника, закрепившегося внутри периметра.
Gray Box
Заказчик предоставляет ограниченные сведения: учётную запись с минимальными правами, список подсетей, описание архитектуры или перечень критических систем. Это сокращает время на разведку и позволяет сосредоточиться на выбранных целях.
White Box
Команда получает сетевые схемы, конфигурации, учётные записи и другие необходимые сведения. Формат применяется для углублённого анализа инфраструктуры, настроек безопасности и сложных цепочек атак.

Что проверяем в рамках внутреннего пентеста

  • сегментацию сети, маршрутизацию, межсетевые экраны, коммутаторы и точки доступа;
  • серверы и рабочие станции, операционные системы, прикладное ПО и конфигурации безопасности;
  • Active Directory, контроллеры домена, групповые политики, права доступа и доверительные отношения;
  • внутренние порталы, CRM, ERP, системы документооборота и базы данных;
  • DNS, DHCP, LLMNR, NBT-NS, SMB, RDP, SSH, WinRM, WMI и другие сетевые службы;
  • механизмы сетевого доступа, включая NAC и 802.1X;
  • возможность обхода или отключения средств мониторинга и защиты.
Свяжитесь с нами – мы поможем оценить объем работ на проект.

Методология и подход при проведении внутреннего пентеста

Ручной анализ

Автоматизированные средства используются для первичного обследования. Основная часть работ выполняется вручную: специалисты проверяют ошибки конфигурации, избыточные права, логику разграничения доступа и возможность объединения отдельных недостатков в рабочую цепочку атаки.

Многовекторная проверка

Инфраструктура рассматривается на сетевом, доменном, серверном и прикладном уровнях. Задача — определить не только наличие отдельных уязвимостей, но и возможность повысить привилегии, перемещаться между узлами и получить доступ к целевым системам.

Методологическая база

  • NIST SP 800-115;
  • PTES — Penetration Testing Execution Standard;
  • OSSTMM;
  • ГОСТ Р 58143-2018.

Проверяемые векторы атак

Уровень Что проверяется
Сетевая инфраструктура Активные узлы, порты и сервисы, широковещательный трафик, LLMNR/NBT-NS Poisoning, SMB Relay, ARP Spoofing, DHCP-атаки, маршрутизация и возможность обхода сегментации.
Active Directory и домен Эскалация привилегий, Pass-the-Hash, Pass-the-Ticket, атаки на Kerberos, небезопасные GPO, пароли в SYSVOL, делегирование, доверительные отношения, избыточные права и пути латерального перемещения.
Серверы и рабочие станции Уязвимости ОС и прикладного ПО, локальные политики, права доступа, общие сетевые ресурсы, службы с повышенными привилегиями, чувствительные данные в скриптах, конфигурациях, реестре и хранилищах.
Приложения и базы данных Внутренние веб-приложения, аутентификация и авторизация, SQL-инъекции, XSS, CSRF, IDOR, бизнес-логика, конфигурации СУБД, стандартные учётные записи и слабые пароли.
Контроль сетевого доступа Возможность подключения к сети без авторизации, обход механизмов NAC и недостатки реализации 802.1X.

Нормативная и методическая база при проведении внутреннего пентеста

Положение Банка России № 851-П
Требования к тестированию информационной инфраструктуры кредитных организаций и филиалов иностранных банков.
Положение Банка России № 757-П
Требования к тестированию на проникновение и анализу уязвимостей для некредитных финансовых организаций.
Положения Банка России № 821-П и № 808-П
Требования к защите информации при переводах денежных средств и деятельности профессиональных участников финансового рынка.
Методические рекомендации Банка России № 2-МР
Рекомендации по проведению внешнего и внутреннего тестирования на проникновение в организациях финансового рынка, включая проверку офисной сети, серверов баз данных, АБС и контроллеров домена.
Методика анализа защищённости информационных систем ФСТЭК России
Подход к организации и проведению анализа защищённости информационных систем.
Приказ ФСТЭК России № 117
Требования к защите государственных информационных систем и иных информационных систем государственных органов.
Приказы ФСТЭК России № 17, № 21 и № 31
Требования к защите информации в ГИС, ИСПДн и АСУ ТП, включая выявление и устранение уязвимостей.
ГОСТ Р 58143-2018
Методы тестирования проникновения при анализе уязвимостей программного обеспечения.
Федеральный закон № 152-ФЗ
Оценка эффективности мер защиты информационных систем, обрабатывающих персональные данные.
Уже есть техническое задание? Давайте обсудим детали.

Этапы работ и результаты

  1. Планирование и согласование

    Определяем сегменты, подсети и системы в области тестирования, цели, ограничения, исключаемые критические узлы, модель нарушителя и порядок взаимодействия. Согласовываем программу работ и действия на случай нештатной ситуации.

    Результат

    Согласованная программа и правила проведения внутреннего пентеста.

  2. Сбор информации

    Анализируем сетевое окружение и широковещательный трафик, выявляем активные узлы, DHCP- и DNS-серверы, контроллеры домена, структуру сети и доступные сведения Active Directory.

    Результат

    Карта внутренней инфраструктуры и профиль поверхности атаки.

  3. Анализ уязвимостей

    Проверяем сеть, операционные системы, Active Directory, приложения и базы данных автоматизированными и ручными методами.

    Результат

    Перечень потенциальных уязвимостей и цепочек атаки для проверки.

  4. Эксплуатация

    В согласованных пределах проверяем возможность эксплуатации уязвимостей, повышения привилегий, латерального перемещения и получения доступа к целевым системам и данным.

    Результат

    Подтверждённые сценарии внутренней атаки и доказательства их реализуемости.

  5. Постэксплуатационный анализ

    Определяем доступные после компрометации системы и данные, возможную глубину продвижения по сети, влияние на бизнес-процессы и способность нарушителя оставаться незамеченным.

    Результат

    Оценка технических последствий, рисков для бизнеса и регуляторных рисков.

  6. Отчёт и презентация результатов

    Описываем подтверждённые уязвимости, цепочки атак, критичность, шаги воспроизведения и рекомендации. Представляем результаты технической и управленческой командам.

    Результат

    Приоритизированный план повышения защищённости внутренней инфраструктуры и материалы для подтверждения выполнения регуляторных требований.