Interní penetrační testy

Při interním penetračním testu naši specialisté simulují běžného interního uživatele (zaměstnance) se základními oprávněními, který je připojen do Vaší interní sítě.

Účel

Hlavním cílem je ověřit účinnost interních bezpečnostních opatření v IT prostředí, která by měla zabránit tomu, aby běžný uživatel eskaloval svá základní oprávnění na vyšší úroveň a získal neoprávněný přístup k datům, ke kterým nemá přidělen přístup (soubory, e-maily, databáze atd.).

Fáze testování

Tento typ testování zahrnuje:

• Pro účely testu dostaneme falešnou identitu zaměstnance: účet v doméně MS Windows, e-mailový účet, standardní firemní laptop / desktop (bez administrátorského přístupu).

• Snažíme se získat úplnou kontrolu nad firemním laptopem / desktopem uživatele a pomocí získaných informací zaútočit na ostatní počítače ve vnitřní síti.

• Vybrané interní servery jsou podrobeny skenování bezpečnostních zranitelností pomocí automatizovaných nástrojů (vulnerability scanner + specializované nástroje pro bezpečnostní testy). Cílem tohoto kroku je identifikovat nejslabší místa ve Vaší vnitřní infrastruktuře.

• Na základě znalostí z předchozího kroku se snažíme eskalovat základní oprávnění v doméně MS Windows (neprivilegovaný účet zaměstnance), abychom získali vyšší úroveň přístupu (nejlépe Domain Admin).

• Podobně se snažíme ukázat zneužití zjištěných zranitelných míst na systémech jiných než Windows (např. servery UNIX, síťové prvky nebo jiná zařízení).

• Všechny závěry spolu s navrhovanými doporučeními jsou zdokumentovány v závěrečné zprávě.

Tento typ interních penetračních testů Vám poskytne obrázek o tom, jak potenciální útočník z řad zaměstnanců (s dobrými technickými znalostmi) může poškodit Vaše vnitřní systémy, získat neoprávněný přístup nebo poškodit důležitá data.

Reporting

Výstupem penetračního testu je závěrečná zpráva, která obsahuje podrobnosti o průběhu testu, popis a klasifikaci nalezených zranitelností a samozřejmě doporučení ke snížení rizika.

Pro klasifikaci závažnosti zranitelnosti standardně využíváme škálu: Nízká (Low), Střední (Medium), Vysoká (High) a Kritická (Critical). V případě požadavku zákazníka přidáme hodnocení pomocí CVSS skóre (Common Vulnerability Scoring System) nebo použijeme zákazníkem dodané klasifikační schéma.

Zpráva je připravena ve formátu MS Word a PDF a zákazníkovi zaslána bezpečným způsobem.

Penetrační testy mohou být zakončeny prezentací výsledků u zákazníka – manažerská prezentace nebo technický workshop/diskuse nad závěrečnou zprávou.

Další typy testů

Vedle výše popsaných testů poskytujeme našim klientům také mnoho jiných typů penetračních testů – viz Penetrační testování – přehled.