Тестування на проникнення

Тест на проникнення, Пентест  (анг. Penetration Testing) – це тип комп’ютерних тестувань безпеки, спрямованих на пошук та виявлення потенційних загроз, недоліків, несправностей (багів, помилок) та вразливостей у захисті електронно-обчислювальних, інформаційних систем. Пентест проводиться лише за згодою власника електронного ресурсу, підтвердженою офіційним документом.

В основі тестування на проникнення лежить принцип імітації кібер-атак. Завдання пентестера – спробувати обійти існуючий захист системи, перевірити її на цілісність, стійкість, гнучкість, вразливість, моделюючи справжню загрозу, застосовуючи техніки Білого “Етичного” Хакінгу (Ethical Hacking).

Компанія KR. Laboratories провела більше 10-ти успішних пентестів в різних сферах для різних клієнтів: приватний малий та середній бізнес, підприємства, комерційні організації, торгові компанії (b2b/retail), ІТ індустрія, освітні установи тощо. Сертифіковані пентестери, велика база інструментів та методик дає нам можливість відповідати міжнародним вимогам та гарантувати швидкість і якість проведення пентестів.

Тестування на проникнення діляться на 3 типи:

1. Black-Box Pentest – це тест на проникнення чорної скриньки. Виконується без будь-яких відомостей про досліджуваний об’єкт. Це найскладніший варіант для пентестерів. Тестери не знають системи і намагаються зламати її, виявляючи вразливості у технічних вузлах і компонентах, збираючи потрібні відомості.
2. White-Box Pentest – це тест на проникнення білої скриньки. Виконується у повній співпраці із власником досліджуваного об’єкта. При цьому, одна сторона намагається проникнути, а інша – захистити. Тестер має усі необхідні доступи та відомості про систему. Цей вид пентесту дуже схожий на класичний аудит кібербезпеки. 
3. Grey-Box Pentest –  це тест на проникнення сірої скриньки. Тестер має певні накопичені відомості про досліджуваний об’єкт. Йому також може бути наданий авторизований доступ в систему з обмеженими правами. Пентестер намагатиметься здійснити ескалацію привілеїв, виявляючи вразливості. 

Тестування на проникнення дозволяє:

• Виявити вразливості та інформаційні витоки на ранніх стадіях, які можуть призвести до серйозних атак, взлому, компрометації системи та знищення даних;
• Оцінити актуальний рівень захищеності ІТ-системи, продемонструвати наслідки атаки та спрогнозувати можливі економічні, репутаційні втрати і збитки;
• Провести комплексну оптимізацію кіберзахисту, відповідно до світових вимог і стандартів: COBIT, ITIL, ISO, NIST, MITRE, SANS, PCI-DSS, X.800 та інших;
• Усунути усі можливі ризики з кібербезпеки на всіх рівнях та зробити ІТ-інфраструктуру більш надійною, ефективною, стійкішою, конкурентоздатною та обороноздатною;
• Випередити потенційних зловмисників у виявленні та експлуатації недоліків безпеки.
• Спроєктувати безвідмовну архітектуру кібербезпеки та налагодити в ній усі процеси, підібрати комплексні рішення з кіберзахисту: WAF, IPS/IDS, NGFW тощо;

Фактично, кожен бізнес, кожна інформаційна і технічна система на сьогодні є потенційно вразливою та вимагає тестування. Щодня виникають десятки, а то й сотні нових кібер-загроз, зокрема вразливості нульового дня, які невідомі самим розробникам (0-Zero Day Vulnerabilities). Тому Тестування на проникнення є своєрідним “щепленням” від майбутніх загроз. Рекомендується регулярно проводити пентести аби бути підготовленим до можливої масованої цілеспрямованої APT-атаки (Advanced Persistent Threat).