Многие компании уверены, что взломать их систему безопасности невозможно. Но есть только один способ проверить, действительно ли сеть защищена настолько, что можно не бояться внезапной кибератаки. Это Penetration test или тест на проникновение.

Что такое Penetration test?

Это метод оценки уровня защищенности компьютерной системы или сети путем моделирования действий потенциального злоумышленника. Иными словами, это симуляция взлома системы.

Сокращено такую симуляцию называют пентестом, а специалиста, который исполняет роль киберпреступника – пентестером.

Основная задача пентеста – обнаружить уязвимости сети, которые могут быть использованы злоумышленниками для проникновения в систему.

Как это выглядит на практике?

Заказчик формулируют цель атаки. Это может быть полный захват контроля над IT-системой, компрометация баз данных, обвал сервера и т.д.

Заказчик определяет стартовую позицию пентестера и модель тестирования:

White box – специалист имеет полную информацию о

системе и проверяет уровень защищенности узкого

участка сети (например, нового приложения или веб-портала);

 

Grey box – пентестер получает лишь некоторые

данные о системе и пытается взломать ее с позиции непривилегированного

пользователя(например, рядового сотрудника компании

или клиента, имеющего доступ к личному кабинету);

 

Black box – пентестер не располагает никакими

сведениями о системе и симулирует

полноценную хакерскую атаку.

 

Заказчик определяет уровень осведомленности штатных сотрудников. Чаще всего о тестировании знает только руководство компании и директор по IT, администраторы же полагают, что столкнулись с реальным взломом.

Пентестер анализирует систему на предмет уязвимостей и использует их для проникновения внутрь.

По окончанию атаки специалист формирует детальный отчет, в котором дает общую оценку уровня защищенности системы, описывает все обнаруженные уязвимости и те из них, которые были использованы им для проникновения. Хороший отчет включает еще и рекомендации по устранению критических уязвимостей и повышению защиты системы.

Что это дает?

Конечно, пентест не может заменить полноценный аудит IT-безопасности. Но это очень важная его часть, которая дает возможность смоделировать, насколько легко сторонний хакер или инсайдер сможет взломать существующую защиту, используя дыры в ее структуре.

Кроме того, Penetration test позволяет оценить работу штатных сотрудников – как быстро они реагируют на проникновение, эффективны ли их действия по устранению угрозы, насколько слаженно они работают в условиях кибератаки.

Однако между пентестром и хакером нельзя ставить знак уравнения. Первый проникает в систему с ведома заказчика и в рамках делегированных ему прав. Его цель – не нарушить работу сети, а проверить, насколько она предрасположена к взломам.

Преступник же не будет спрашивать разрешения, чтобы проникнуть в сеть. И уж точно не начнет атаку в четко оговоренное время. Более того, его выбор инструментов для проникновения не ограничен рабочей этикой. В отличие от пентестера, который работает в правовом поле, он может прибегать к угрозам и шантажу, которые, как показывает практика, в 30% случаев и открывают злоумышленникам вход в систему.

Но если даже пентестерам, как правило, удается быстро взломать систему, что уж говорить о хакерах, которые делают это без лишних церемоний?

Пентест показывает самые уязвимые места системы и тем самым дает базу для построения действительно эффективной стратегии безопасности.

Но на смену одним уязвимостям могут прийти другие, а инструменты киберпреступников совершенствуются с каждым днем. Поэтому тестировать систему нужно регулярно. Это как медосмотр, который желательно проходить хотя бы раз в год.