Анализ способов оценки защищённости компьютерной сети

В качестве одного из элементов внешнего пентеста выделяется социальная инженерия.Рис. Структура пентестаВнешний пентест имитирует действия злоумышленника и предсказывает действия стороннего хакера. Эта версия пентеста состоит из следующих шагов:1. Сбор информации. Пентестеров обычно интересуют адреса внешнего периметра Заказчика — сайтов, серверов. При этом анализу подвергается как общедоступная информация, так и информация, присланная Заказчиком, а в некоторых случаях и конфиденциальная информация, полученная от третьих лиц. Часть информации или вся необходимая информация может быть предоставлена ​​Заказчиком непосредственно Исполнителю по Договору.2. Поиск уязвимостей. На этом этапе в основном используются разные сканеры, которые могут дополнять друг друга. Самые популярные Nessus, XSpider, OpenVAS, Maxpatrol.3. Эксплуатация уязвимостей. Этот этап требует от пентестеров творческого подхода — в конце концов, нельзя допустить, чтобы этичный хакер навредил инфраструктуре Потребителя, поэтому этот этап в некоторых случаях пропускают. При отсутствии сбоев в работе систем использование уязвимостей осуществляется только с согласия Заказчика.Отдельное направление внешнего пентеста — социальная инженерия. Его наиболее широко используемым инструментом является распространение зараженных электронных писем. По результатам рассылки анализируется не только работа антивирусных средств и контроля трафика, но и ответственность сотрудников при реагировании на такие письма является ключевым фактором. Сам факт вскрытия письма уже может быть предметом внутренних дел или основанием для обучения сотрудников основным требованиям информационной безопасности.Внутренний пентест проводится для проверки внутренних уязвимостей в инфраструктуре заказчика. Кроме того, пентестеры могут получить физический доступ к сети или рабочему месту с правами обычного пользователя внутри (или без прав вообще). При этом тестирование может проводиться удаленно, через VPN-соединение или с присутствием пятидесятников на территории Заказчика.Особый интерес представляет этот внутренний тест на проникновение, так как инсайдеры составляют основную часть инцидентов информационной безопасности. В этом случае нет необходимости искать точки доступа — ведь моделируется ситуация при проникновении хакера. Поэтому его действия состоят из следующих шагов:Поиск доступной информации (зачастую рядовому пользователю доступна конфиденциальная информация, находящаяся на сетевом ресурсе, просто ярлык от ресурса явно не выведен на рабочий стол)Повышение прав доступа за счет эксплуатации известных уязвимостейПовторный поиск информации с повышенными правами – в зависимости от согласованного с заказчиком ТЗ.Так как способ проведения пентестов регуляторами не определен, опишем основные нюансы, которые необходимо учитывать при выполнении этого требования:Рис. Методика проведения пентестаЗАКЛЮЧЕНИЕВ работе рассмотрены вопросы защищённости компьютерной сети, приведена характеристика компьютерной сети. Описана процедура методапентеста, а также приведен способ сканирования открытых портов с помощью KaliLinux.СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВГалатенко В.А. Стандарты информационной безопасности – М.: 2004Липаев В.В. Программная инженерия. Методологические основы. – М.: ТЭИС, 2007.Информационный бюллетень «Новости международной стандартизацииМЭК и ИСО» № 1, 2008 – 47 стр. – С. 5 .Позднеев Б.М. Стандартизация информационно-коммуникационных технологий в образовании / Научно-практический журнал «Открытое образование» № 6, 2007 – 82 стр. – С.5.Позднеев Б.М., Марков К.И., Дубровин А.В. – О новых международных стандартах в области электронного обучения // eLearningWorld – № 2 (22), март – май 2008 г., с. 14 – 18.Зегжда Д. П., Ивашко А. М. Основы безопасности информационных систем.– М.: Горячая линия – Телеком, 2000. C. 18.Н. Угринович, Л. Босова, Н. Михайлова - Практикум по информатике и информационным технологиям – изд. Бином. Лаборатория знаний, 2009.М. Ховард, Д. Лебланк, Дж. Вьега (переводчик: Е. Матвеев) - 24 смертных греха компьютерной безопасности (24 DeadlySinsofSoftwareSecurity: ProgrammingFlawsandHowtoFixThem) – изд. Питер, 2010.Parmy Olson - We are Anonymous: Inside the Hacker World of LulzSec, Anonymous, and the Global Cyber Insurgency - изд. Little, Brown and Company, 2012.