Внутреннее тестирование на проникновение
Внутреннее тестирование на проникновение (penetration testing) имитирует действия злоумышленника, уже имеющего доступ к внутренней сети, и позволяет выявить слабые места в защите, которые могут быть использованы для эскалации привилегий, доступа к конфиденциальным данным или нарушения работы систем. Этот вид тестирования помогает оценить реальную степень защищенности внутренней инфраструктуры и подготовленность к отражению атак изнутри.
Основной целью проведения внутреннего теста на проникновение является выявление уязвимостей и построение векторов атак, позволяющих злоумышленнику получить конфиденциальные данные во внутренней (локальной) сети Заказчика и\или получить максимальные привилегии в корпоративном домене Заказчика.
Далее приведено краткое описание работ, выполняемых в рамках внутреннего теста на проникновение:
1. Сбор информации.
Проводится анализ сетевого окружения, используемых протоколов и технологий, который включает в себя:
- прослушивание широковещательного сетевого трафика с целью идентификации адресации подсети и наличия активных узлов;
- идентификацию сетевого оборудования по протоколам канального уровня (CDP, VTP, STP, DTP);
- идентификацию DHCP-серверов и получение сетевой конфигурации от них;
- идентификацию шлюзов, DNS-серверов и контроллеров домена в доступных сегментах;
- идентификацию структуры сети и имен узлов из службы DNS;
- идентификацию структуры сети, имен узлов и учетных записей из службы Active Directory.
2. Анализ защищенности приложений.
Для проверок приложений выполняются следующие действия:
- сбор информации о структуре веб-приложения;
- проверка корректности обработки ошибок;
- проверка способов передачи данных;
- проверка конфигурации веб-приложения;
- тестирование механизма регистрации и управления пользователями;
- проверка механизмов аутентификации и авторизации;
- проверка механизма управления сессиями;
- проверка валидации входной информации;
- тестирование бизнес-логики;
- проверка возможности проведения атак на клиентов.
3. Проведение сетевых атак.
Анализ защищенности механизмов контроля сетевого доступа.
Выявляются точки проникновения во внутреннюю сеть и способы обхода механизмов контроля сетевого доступа. Производится проверка механизмов контроля сетевого доступа, выполнение атак, направленных на обход данных механизмов защиты.
Анализ небезопасного использования сетевых протоколов.
Осуществляется поиск в сетевом трафике сетевых протоколов, которые могут быть использованы небезопасно. Проводится анализ возможности проведения атак с использованием этих протоколов. Атаки, которые могут привести к отказу в обслуживании, не проводятся.
LLMNR/NBT-NS Poisoning.
Использование протокола многоадресного разрешения имен локальных ссылок LLMNR либо протокола NBT-NS на рабочих станциях в исследуемом сегменте корпоративной сети Заказчика позволяет злоумышленнику совершить атаку типа «человек посередине», либо перехватить учетные записи пользователей. Для реализации данной атаки необходимо выполнить LLMNR/NBT-NS Poisoning, т.е. совершить попытку разрешения искомого имени хоста в IP-адрес хоста злоумышленника. При использовании в сети протокола LLMNR либо протокола NBT-NS, Исполнитель, имитирующий действия злоумышленника, представляется сетевым узлом с произвольным именем (запрашиваемым в момент тестирования) и перенаправляет сетевой трафик, предназначенный для этого узла, через свой сетевой узел (в случае MITM-атаки) либо пытается перехватить учетную запись.
ARP-spoofing.
Атака заключается в отправке поддельных ARP-ответов (ARP-reply). В данных пакетах указывается, что на определенный IP-адрес необходимо посылать пакеты через узел с MAC-адресом атакующего. При получении такого пакета сетевой узел записывает эту информацию в собственную ARP-таблицу. После этого каждый раз при отправке пакета на данный узел будет производиться поиск по таблице и извлечение записи, в которой указан MAC-адрес злоумышленника. Пакет физически будет перенаправляться на его интерфейс, где возможны чтение или модификация сетевого трафика, и только после этого будет отправлен на физический интерфейс узла назначения.
IPv6 DNS-spoofing
Использование протокола IPv6 в исследуемом сегменте корпоративной сети Заказчика позволяет Исполнителю, имитирующему действия злоумышленника, рассылать DHCPv6-ответы, устанавливающие в качестве DNS-сервера IPv6 адрес хоста атакующего. Сетевая конфигурация IPv6 имеет больший приоритет, чем сетевая конфигурация IPv4. Таким образом, операционные системы Заказчика будут выполнять DNS-запросы по IPv6-адресу рабочей станции Исполнителя. Это позволяет Исполнителю в качестве ответа на различные DNS-запросы АРМ сотрудников указывать IPv4-адрес своей рабочей станции. Таким образом, АРМ сотрудников Заказчика устанавливают соединения с рабочей станцией Исполнителя по различным протоколам, таким как HTTP или SMB, позволяющим запросить у пользователя аутентификацию.
4. Обнаружение уязвимостей приложений и операционных систем.
Осуществляется сканирование уязвимостей доступных сетевых узлов.
5. Построение и реализация векторов атак.
На основании полученной на предыдущих этапах информации наши специалисты строят векторы возможных атак. При этом используются только опубликованные уязвимости в системах. Векторы проверяются, в результате выделяются те из них, которые приводят к наибольшему воздействию (получению более высоких прав, получению доступа к защищаемой информации).
В результате заказчик получает:
- отчет о найденных уязвимостях по итогам проведение внутреннего тестирования на проникновение;
- рекомендации по устранению найденных уязвимостей;
- рекомендации по использованию дополнительных защитных мер и процессов для снижения рисков информационной безопасности.
Внутреннее тестирование на проникновение: выявление слабых мест в защите компании
Узнайте, как внутреннее тестирование на проникновение может помочь обезопасить вашу сеть
Внутреннее тестирование на проникновение (penetration testing) имитирует действия злоумышленника, уже имеющего доступ к внутренней сети, и позволяет выявить слабые места в защите, которые могут быть использованы для эскалации привилегий, доступа к конфиденциальным данным или нарушения работы систем. Этот вид тестирования помогает оценить реальную степень защищенности внутренней инфраструктуры и подготовленность к отражению атак изнутри.
Основная цель проведения внутреннего теста на проникновение состоит в выявлении уязвимостей и построении векторов атак, позволяющих злоумышленнику получить конфиденциальные данные во внутренней (локальной) сети Заказчика и/или получить максимальные привилегии в корпоративном домене Заказчика.
Проведение внутреннего тестирования на проникновение предполагает выполнение следующих этапов:
1. Сбор информации
- Прослушивание широковещательного сетевого трафика с целью идентификации адресации подсети и наличия активных узлов.
- Идентификация сетевого оборудования по протоколам канального уровня (CDP, VTP, STP, DTP).
- Идентификация DHCP-серверов и получение сетевой конфигурации от них.
- Идентификация шлюзов, DNS-серверов и контроллеров домена в доступных сегментах.
- Идентификация структуры сети и имен узлов из службы DNS.
- Идентификация структуры сети, имен узлов и учетных записей из службы Active Directory.
2. Анализ защищенности приложений
- Сбор информации о структуре веб-приложения.
- Проверка корректности обработки ошибок.
- - Проверка способов передачи данных.
- - Проверка конфигурации веб-приложения.
- - Тестирование механизма регистрации и управления пользователями.
- - Проверка механизмов аутентификации и авторизации.
- - Проверка механизма управления сессиями.
- - Проверка валидации входной информации.
- - Тестирование бизнес-логики.
- - Проверка возможности проведения атак на клиентов.
3. Проведение сетевых атак
- Анализ защищенности механизмов контроля сетевого доступа.
- Выявление точек проникновения во внутреннюю сеть и способов обхода механизмов контроля сетевого доступа.
- Проверка механизмов контроля сетевого доступа и выполнение атак, направленных на обход данных механизмов защиты.
- Анализ небезопасного использования сетевых протоколов.
- Поиск в сетевом трафике протоколов, которые могут быть использованы небезопасно.
- Анализ возможности проведения атак с использованием этих протоколов.
4. Обнаружение уязвимостей приложений и операционных систем
- Сканирование уязвимостей доступных сетевых узлов.
5. Построение и реализация векторов атак
- Построение атак, направленных на получение конфиденциальных данных или эскалацию привилегий.
Внутреннее тестирование на проникновение позволяет компаниям выявить слабые места в своей защите и принять меры для их устранения. Это важный этап в обеспечении безопасности информационных систем и защите конфиденциальных данных.
Если вы хотите обезопасить свою сеть и предотвратить возможные атаки изнутри, внутреннее тестирование на проникновение является незаменимым инструментом. Обратитесь к нам, и мы поможем вам провести качественное тестирование и защитить вашу сеть от потенциальных угроз.
