Пентест: проверка защиты компании методами взломщика

Этичный хакинг — использование методов злоумышленников для проверки защиты с разрешения владельца систем. Основная форма этичного хакинга в бизнесе — тестирование на проникновение, или пентест. Специалисты пытаются найти и использовать слабые места в сети, сайте, приложениях или у сотрудников, а затем подробно описывают, как им это удалось и что исправить.

Чем пентест отличается от сканирования уязвимостей

Сканирование уязвимостей — автоматическая проверка с помощью программ, которые сравнивают версии и настройки с базами известных проблем. Быстро и регулярно, но много ложных срабатываний, и сканер не понимает контекста.

Пентест — ручная работа специалистов. Они не просто находят уязвимость, а проверяют, можно ли ею воспользоваться, и выстраивают цепочки: слабый пароль на одном сервисе, затем доступ к внутренней сети, затем повышение прав, затем доступ к базе клиентов. Такие цепочки автоматический сканер не обнаружит.

Хорошая практика — регулярное сканирование и периодический пентест.

Виды пентеста

Внешний. Проверка того, что доступно из интернета: сайт, почта, VPN, открытые сервисы. Имитирует атаку извне.

Внутренний. Проверка изнутри сети: что сможет сделать злоумышленник, который уже попал в офисную сеть или заразил компьютер сотрудника.

Веб-приложения. Глубокая проверка сайта, личного кабинета, API на типовые уязвимости.

Мобильные приложения. Проверка приложения и его взаимодействия с сервером.

Социальная инженерия. Проверка сотрудников: учебные фишинговые письма, звонки, попытки пройти в офис.

Беспроводные сети. Проверка Wi-Fi.

По уровню знаний тестировщика

• Чёрный ящик — специалисты знают только название компании или адрес сайта, как внешний злоумышленник
• Серый ящик — получают часть информации, например учётную запись обычного пользователя
• Белый ящик — имеют доступ к документации, схемам, иногда к исходному коду

Белый ящик позволяет за то же время найти больше проблем, чёрный — точнее имитирует реальную внешнюю атаку.

Этапы

1. Согласование. Цели, границы (какие системы можно проверять, какие нельзя), сроки, допустимые методы, контакты для экстренной связи
2. Разведка. Сбор информации о компании и её системах
3. Поиск уязвимостей. Автоматические и ручные проверки
4. Эксплуатация. Попытки использовать найденное, чтобы подтвердить реальность угрозы
5. Отчёт. Описание найденного, доказательства, оценка критичности, рекомендации
6. Повторная проверка после исправлений

Юридическая сторона

Пентест без письменного разрешения владельца систем — это взлом. Поэтому до начала работ обязательно подписывается договор с чётко описанными границами. Если проверяются системы, размещённые у хостинг-провайдера или в облаке, нужно учесть и его правила. Подрядчик должен иметь соглашение о конфиденциальности: в ходе работы он может получить доступ к чувствительным данным.

Как подготовиться

• Определить цель: проверить сайт перед запуском, оценить защиту после инцидента, выполнить требование партнёра или регулятора
• Сделать резервные копии проверяемых систем
• Предупредить ответственных, чтобы активность тестировщиков не приняли за реальную атаку, — или наоборот, сознательно не предупреждать, если проверяется реакция мониторинга
• Назначить контактное лицо на время работ

Что делать с отчётом

Отчёт — не цель, а начало работы:

1. Разобрать находки с IT-командой и подрядчиками
2. Расставить приоритеты: критичные исправить сразу
3. Назначить ответственных и сроки
4. Провести повторную проверку исправлений
5. Учесть системные причины: если найдено много слабых паролей, проблема в политике, а не в конкретных учётных записях

Как выбрать исполнителя

• Опыт и примеры отчётов (обезличенные)
• Квалификация специалистов
• Методология: как проводят и документируют работу
• Ясность отчёта для руководства и для технических специалистов

Ошибки

• Пентест ради галочки без исправления найденного
• Слишком узкие границы, исключающие самые уязвимые системы
• Проведение без резервных копий
• Выбор по наименьшей стоимости, когда под видом пентеста продают автоматический скан

Если вы хотите проверить защиту сайта, сети или сотрудников, расскажите о задаче — поможем определить вид тестирования и границы.