Scopul primordial constă în identificarea breșelor de securitate din infrastructurile reţelelor de date şi a nivelului de risc la care organizaţia dumneavoastră este expusă. După o analiză amănunțită a sistemelor şi a reţelelor de comunicații digitale, se va genera un plan de eliminare a vulnerabilităților în funcţie de rezultatele obţinute în urma analizelor şi a testelor de penetrare. Cele doua abordări prin care echipa noastră va testa infrastructura reţelelor de date sunt:
Prin testul de penetrare externă a reţelelor se identifică vulnerabilitățile dispozitivelor din infrastructură, implicit a serverelor ce pot fi accesate via internet, testând nivelul de securitate al routerelor, firewalls, IDS (Intrusion Detection Systems) şi alte dispozitive, respectiv soluţii software menite să detecteze şi să blocheze atacurile informatice.
Prin testul de penetrare internă a reţelelor se stabileşte nivelul de securitate a reţelei din perspectiva unui atac informatic provocat de un utilizator intern. O situaţie plauzibila ar fi cea în care un angajat nemulţumit, un intrus ce a reuşit să obţină accesul fizic în edificiu şi totodată în rețeaua internă de date, sau un atacator ce a reuşit să exploateze o breşă în sistemul wireless ar încerca să obţină informaţii confidenţiale sau chiar să pericliteze activitatea companiei dumneavoastră. După o analiză amanunţită şi studierea scenariilor aplicabile, se va întocmi un plan menit să detecteze, să prevină şi, implicit, să combată acest tip de atacuri.
Dacă infrastructura dumneavoastră de comunicaţie prin voce este bazată pe protocolul VOIP, atunci trebuie să fiţi conştient de faptul că acest protocol poate fi expus unor atacuri informatice. Securizarea reţelelor de telefonie VOIP este un aspect important atât din punct de vedere financiar, cât şi din punct de vedere logistic. Orice breşă din sistemul de telefonie poate avea consecinţe dezastroase pentru compania dumneavoastră. Noi vă punem la dispoziţie posibilitatea de a descoperi vulnerabilităţile aferente, de a îmbunătăţi configuraţia infrastructurii şi de preveni şi, implicit, de a combate atacurile asupra infrastructurii. Printre metodele prin care analizăm şi testam acest protocol se regăsesc Voice Mail Attacks, Extension Enumeration, Number Harvesting, RTP Injection, Caller ID Spoofing, Default Credential Testing.
Testăm nivelul de securitate al aplicaţiilor web şi al serverelor pe care acestea sunt găzduite şi identificăm vulnerabilităţi ce ar putea fi exploatate.
Procesul de investigare, identificare şi exploatare a breşelor constă în testarea manuală prin metodele MYSQL/SQL Injection, XML Injection, LDAP Injection, IMAP/SMTP Injection, XSS (Cross Site Scripting) etc., precum şi în utilizarea sistemelor automate comerciale de detecţie a vulnerabilităţilor aferente sistemelor web-based.
Analiza codului sursă atât prin utilizarea unor soluţii automate, cât şi prin analiza manuală a acestuia, scopul principal fiind eliminarea vulnerabilităţilor generate din neglijenţă, ignoranţă sau necunostinţa echipelor de dezvoltare.
În contextul atacurilor cibernetice, ingineria socială este o metoda prin care un atacator încearcă să manipuleze şi, implicit, să convingă victima să realizeze o acţiune. Procedeele de inginerie socială sunt foarte variate, extrem de ingenioase şi adaptabile: email spoofing/phishing, SMS spoofing/phishing, vishing, clickjacking etc.
Pentru efectuarea testelor, echipa noastră va stabili scenarii de atac sofisticate, generate în urma unei campanii iniţiale de obtinere de informaţii.
ETAPE:
INFORMATION GATHERING: Se încearcă obţinerea de informaţii detaliate în ceea ce priveşte organizaţia dumneavoastră şi structura personalului. Este o etapă importantă deoarece, în marea majoritate a situaţiilor, succesul atacului depinde în mare măsură de calitatea şi de volumul informaţiilor obţinute în această etapă.
PRETEXT SCENARIOS: Se stabilesc mai multe scenarii de atac optimizând şi adaptând metodologia procedeelor folosite;
TARGET EXPLOITATION: Se iniţiază campania de atac personalizată asupra angajaţilor organizaţiei dumneavoastră printr-o campanie sofisticata de phishing, vishing şi alte metode aferente ingineriei sociale. În cazurile "Phisical Penetration Testing", referindu-ne la situatiile în care se testează nivelul de vigilenţă şi de conştientizare a personalului de securitate ce controlează accesul în cadrul edificiului - un intrus a reuşit să obţină accesul fizic în inconta organizaţiei dumneavoastră şi, implicit, la una dintre staţiile de lucru conectate la infrastructura internă -, se folosesc şi dispozitive USB infectate menite să instaleze troieni ce ulterior vor fi utilizaţi pentru exploatarea sistemelor informatice;
REPORTING: Se vor genera rapoarte detaliate ce conţin informaţii legate de severitatea şi succesul campaniei de inginerie socială;
EMPLOYEE EDUCATION: Se vor organiza sesiuni de training menite să ridice nivelul de conştientizare a angajaţilor dumneavoastră pentru a putea preveni potenţialele atacuri de acest gen.
Un aspect important de care trebuie să tineţi cont este acela că reţelele wireless implementate în cadrul organizaţiei dumneavoastră sunt extensii ale perimetrului infrastructurii de date şi nivelul de securitate al acestora trebuie testat frecvent. O reţea wireless nesigură poate fi exploatată cu uşurinta de atacatori, iar consecinţele sunt, de cele m ai multe ori, dezastruoase. Echipa noastră va identifica şi testa componentele reţelei wireless cu ajutorul unor echipamente profesionale special concepute pentru auditul acestor tipuri de infrastructuri.
Constă în realizarea unui audit în ceea ce priveşte posibilitatea accesului fizic neautorizat în clădirile/spaţiile organizaţiei dumneavoastră, accesul în camerele tehnice, accesul fizic la echipamentele din infrastructura informatică şi posibilitatea obţinerii de date prin conexiuni fizice la echipamentele de reţea. Dintre procedurile folosite amintim ingineria socială, însă se pot exploata şi punctele slabe descoperite în sistemele de securitate, supraveghere şi control acces, scopul primordial fiind accesul la o cameră tehnică sau la o staţie de lucru conectată la infrastructura de date internă. Metodele variază, însă pot fi adaptate în funcţie de setup-ul sistemelor de securitate implementate.
După efectuarea oricărui tip de audit, echipa noastră va genera un raport detaliat ce va conţine următoarele informaţii: