ĮSILAUŽIMŲ TESTAVIMAS IR PAŽEIDŽIAMUMŲ VERTINIMAS
Turite klausimų?
susisiekime
Paslaugos
KLASIKINIS ĮSILAUŽIMŲ TESTAVIMAS
Aplikacijos
WEB
Žiniatinklio (toliau – Web) aplikacijų atsparumo įsilaužimui testavimas yra būtinas siekiant užtikrinti aukštą jų saugumo lygį. Šis procesas padeda organizacijoms nustatyti ir sumažinti Web aplikacijų pažeidžiamumų kiekį, taip apsaugant jas nuo žalingų kibernetinių atakų.
Vertindami Web sistemų saugumą, siekiame nustatyti ir išnaudoti kuo daugiau spragų per ribotą laikotarpį. Naudodami „juodosios dėžės“ (angl. black-box) testavimo metodą (dar vadinamą dinaminiu aplikacijų saugumo testavimu, DAST), neturime pradinių žinių apie testuojamą sistemą. Šis metodas labiausiai atspindi realią ataką vykdomą prieš konkrečią sistemą. Siekiant didesnio tikslumo ir efektyvumo laike, dažnai rekomenduojame naudoti „pilkosios dėžės“ (angl. grey-box) metodą, kuris leidžia testuotojui turėti dalines išankstines įžvalgas apie testuojamą objektą.
Remdamiesi OWASP ASVS (angl. Application Security Verification Standard) metodika, įdarbiname savo ilgametę patirtį bei įgūdžius siekdami suprasti testuojamos aplikacijos funkcionalumą, logiką bei paskirtį. Ši žmogaus analize paremta technika leidžia atrasti sudėtingas spragas ir nuodugniai įvertinti sistemos saugumą.
Mobiliosios
Mobiliųjų aplikacijų saugumas yra labai dažnai ignoruojamas, tačiau galimos atakos prieš šias aplikacijas ir jų naudotojus gali turėti rimtų finansinių ar reputacinių pasekmių. Atlikdami iOS ir Android aplikacijų atsparumo įsilaužimams patikrinimus padedame klientams identifikuoti įvairius saugumo trūkumus. Tinkamai ištaisius aptiktas spragas, pasiekiamas geresnis kibernetinio saugumo bei bendras atsparumo lygis.
Patikrinimo metu remiamės visuotinai pripažinta OWASP MASVS (angl. Mobile Application Security Verification Standard) metodika. Taip pat naudojame OWASP MASTG (angl. Mobile Application Security Testing Guide) gidą vertindami MASVS standarte aprašytas kontrolės priemones.
API - aplikacijų programavimo sąsaja
API sąsajos dažnai atlieka itin svarbų vaidmenį mobiliųjų aplikacijų ekosistemoje. Šios sąsajos taip pat plačiai naudojamos daugelyje šiuolaikinių Web aplikacijų, taip pat duomenų mainams tarp įvairių paslaugų tarnybų/servisų lygmeniu. Todėl API sistemos yra dažnas ir vertingas kibernetinių atakų taikinys.
Atliekant mobiliųjų ir (arba) Web aplikacijų įsilaužimo testavimą, siekiame patikrinti kiekvieną viešą ar privatų API resursą. Kruopščiai manipuliuodami sąsajos resursais, siekiame suprasti sistemos verslo logiką tam kad nustatytume kuo daugiau pažeidžiamumų.
Įsilaužimo testavimo ataskaitoje pateikiame rekomendacijas, kurios padeda mūsų klientams įgyvendinti tvirtas saugumo priemones, stiprinančias API saugumą.
Išeities kodo auditas
Dalinis arba pilnas kodo auditas, dažnai vadinamas „baltosios dėžės“ (angl. white-box) metodu, yra efektyvus būdas įvertinti kodo kokybę ir greitai nustatyti trūkumus, kurie nėra akivaizdūs ir kurių negalima lengvai rasti be papildomų žinių.
Turėdami prieigą prie išeities kodo, iš pradžių atliekame statinę kodo analizę (dar vadinamą statiniu aplikacijų saugumo testavimu, SAST). Naudojame tiek automatinius įrankius, tiek rankinį vertinimą, tam kad suprastume kodo struktūrą bei logiką. Šis procesas leidžia identifikuoti pažeidžiamumus, kurie vėliau gali būti išnaudojami jau veikiančioje aplikacijoje.
Veikiančioje aplikacijoje sėkmingai išnaudota spraga yra kruopščiai dokumentuojama, pateikiant ne tik kode pastebėtą trūkumą, bet ir realią atakos demonstraciją su paaiškintu rizikos lygiu. Toks būdas, kai spraga aptinkama kode ir išnaudojama veikiančioje aplikacijoje, dar žinomas kaip interaktyvus aplikacijų saugumo testavimas arba IAST.
Duomenų perdavimo tinklai
Išorinis perimetras
Internetu pasiekiamos sistemos sudaro organizacijos išorinį tinklą, kuris paprastai yra tiesiogiai prieinamas visiems, įskaitant įsilaužėlius. Reguliarus tokių sistemų įsilaužimo testavimas ir pažeidžiamumų skenavimas leidžia palaikyti aukštą saugumo lygį.
Įsilaužimų testavimas paprastai prasideda, kai gauname kliento valdomų domenų ir (arba) IP adresų sąrašą. Veikdami iš puolamosios pozicijos nuodugniai įvertiname kiekvienos aptiktos išorinės paslaugos/komponento saugumą. Visos nustatytos problemos yra individualiai dokumentuojamos galutinėje ataskaitoje, eliminuojant bet kokias rizikos nekeliančias ir neaktualias spragas.
Aptikus kritinių spragų ir perėmus sistemos kontrolę, auditas gali būti tęsiamas jau iš vidinio tinklo (dažniausiai DMZ zonos) perimetro perspektyvos.
Vidinis perimetras
Vidinio tinklo infrastruktūrą įprastai sudaro: tarnybinės stotys/serveriai (pvz. „Active Directory“, failų, duomenų bazių ir kt.), darbo vietos, tinklo įrenginiai, IoT įrenginiai ir pan. Šių įrenginių saugumas labai dažnai yra prastos būklės dėl: išteklių (tiek žmogiškųjų, tiek finansinių) trūkumo, žinių stokos, prielaidos, kad vidinės sistemos yra saugios, nes jos yra vidinės. Dėl šių priežasčių vidiniai tinklai yra tikros aukso kasyklos piktavaliams hakeriams. Vidinio įsilaužimo atveju kritinės ir svarbiausios sistemos neretai yra užvaldomos vos per kelias valandas.
Mes tikime, kad vidinių tinklų saugumas yra ne mažiau svarbus nei išorinių, todėl reguliarus šiuose tinkluose esančių sistemų įsilaužimų testavimas ir pažeidžiamumų skenavimas didina organizacijos kibernetinį imunitetą.
Vidinį saugumo patikrinimą pradedame gavę reikiamą informaciją apie vidinio patikrinimo apimtis. Aktyvi patikrinimo fazė gali būti vykdoma tiek nuotoliu, tiek fiziškai atvykus į užsakovo buveinę. Kiekvienas vidinio tinklo potinklis yra prioritetizuojamas pagal svarbą analizuojant jame veikiančių sistemų ir komponentų saugą. Visos spragos, kurias identifikuojame per turimą laikotarpį, yra kruopščiai dokumentuojamos, aiškiai pademonstruojant kylančias rizikas ir pateikiant rekomendacijas saugai pagerinti.
Bevieliai tinklai
Bevieliai arba „Wi-Fi“ tinklai yra specifinis vidinės infrastruktūros vienetas. Šie tinklai dažniausiai suteikia organizacijos darbuotojams vidinę prieigą prie resursų, arba svečiams prieigą prie interneto. Dėl savo pobūdžio belaidžiai tinklai paprastai yra prieinami ir netoli jų esantiems įsilaužėliams. Tai kelia didelę grėsmę, ypač tuo atveju, kai tokių tinklų saugumo užtikrinimo priemonės yra nepakankamos.
Norėdami patikrinti „Wi-Fi“ saugumo stipriąsias ir silpnąsias puses, atliekame tikslinius auditus prieš klientų belaidžius tinklus, vykdydami įvairaus pobūdžio atakas, pasitelkdami skirtingus scenarijus. Imituojami realios atakos veiksmai leidžia nustatyti pažeidžiamumus, kurie gali lemti prieigą prie neautorizuotų resursų ar duomenų.
Debesų kompiuterija
Debesijos saugumas yra gyvybiškai svarbus aspektas bet kuriai debesimi besinaudojančiai ar ją valdančiai organizacijai. Debesies saugumo vertinimas nėra vienareikšmis procesas ir labai skiriasi priklausomai nuo tikslinio debesies paslaugų modelio. Dažniausiai pasitaikantys modeliai yra: IaaS (angl. Infrastructure as a Service), PaaS (angl. Platform as a Service) ir SaaS (angl. Software as a Service). Debesijos platforma taip pat gali būti nuosava (tiek lokali, tiek nutolusi) arba komercinė (pvz. AWS, Azure, GCP). Debesyje taip pat gali būti naudojami skirtingų technologijų hipervizoriai (pvz. VMware, Hyper-V, XEN/Citrix, KVM), konteinerizacijos sprendimai (pvz. Docker, Kubernetes), debesies valdymo mechanizmai, operacinės sistemos. Visa tai suteikia papildomo kompleksiškumo saugumo vertinimo procesui.
Dėl šių priežasčių mūsų patikrinimai remiasi laipsniška ir nuoseklia debesies infrastruktūros analize. Tik surinkę pakankamai duomenų ir žinių apie platformą, supratę organizacijos verslo modelį bei jam kylančias rizikas, sudarome testavimo planą ir tik tada atliekame patį saugumo patikrinimą.
IoT technologijos
IoT (angl. Internet of Things) arba daiktų interneto įrenginiai paprastai tariant yra prie interneto prijungti, išmanieji įrenginiai. Jie yra plačiai paplitę tiek namuose, tiek organizacijų biuruose/patalpose. Daugelis šių įrenginių yra pigiai pagaminti, o tai reiškia, kad prietaiso aparatinė įranga (angl. hardware), programinė įranga (angl. software/firmware) yra prastos kokybės. Dėl to tokie įrenginiai turi daug saugumo trūkumų ir yra pažeidžiami įvairių atakų metu.
IoT įsilaužimų testavimo metu stengiamės išanalizuoti IoT ekosistemą įvairiais kampais: vertinant programinės operacinės sistemos bei įrangos kokybę kodo lygmeniu, stebint duomenų mainus, testuojant vietines ir nutolusias sąsajas (API, mobilioji, Web). Galutinėje audito ataskaitoje aprašomos nustatytos problemos, įvertinant IoT keliamą riziką ir pateikiant strategijas saugumui pagerinti.
Verta paminėti, kad ES priėmus kibernetinio atsparumo aktą CRA (angl. Cyber Resilience Act), IoT gamintojai privalės taikyti specifines kibernetinio saugumo priemones norėdami platinti savo gaminius.
SPECIALIZUOTAS ĮSILAUŽIMŲ TESTAVIMAS
Raudonosios komandos operacijos
Raudonosios komandos (angl. Red Teaming) operacijos tikslas yra įvertinti bendrą organizacijos saugumo būklę. Patikrinimas atliekamas ne tik identifikuojant techninius pažeidžiamumus, bet ir vertinant žmogiškąjį sąmoningumo faktorių, organizacinius procesus (tokius kaip reagavimas į incidentus, aptikimo bei užkardymo galimybės). Organizacijos fizinė sauga taip pat labai dažnai vertinama raudonosios komandos pratybų metu.
Mūsų raudonosios komandos operacijos remiasi taktikomis, metodais ir procedūromis, kurias naudoja realūs kibernetiniai nusikaltėliai. Pratybų metu remiamės visuotinai pripažintomis metodologijomis, tokiomis kaip MITRE ATT&CK ir CAPEC.
Nors raudonosios komandos operacija reikalauja didesnių laikinių resursų planuojant ir vykdant veiksmus, toks patikrinimas suteikia išsamią apžvalgą apie visapusišką organizacijos atsparumą grėsmėms.
TLPT operacijos
Grėsmėmis pagrįstas įsilaužimų testavimas (angl. Threat-led Penetration Testing, TLPT) yra specifinė raudonosios komandos operacija. TLPT metu pagrindinis dėmesys skiriamas konkretaus kenkėjiško veikėjo (vieno arba grupės) atakos imitavimui. Operacija grindžiama konkrečios informacijos apie tam tikrą grėsmę rinkimu, pasitelkiant žvalgybines taktikas. Surinktos žinios vėliau panaudojamos atakos prieš tikslinę organizaciją metu.
Analogiškai raudonosios komandos veiksmams, TLPT reikalauja didesnių laikinių resursų planavimo, informacijos rinkimo ir vykdymo etapams. Tačiau TLPT organizacijoms suteikia vertingų įžvalgų, ypač toms, kurios siekia geresnės apsaugos nuo specifinių pažangių kibernetinių grėsmių.
ES DORA (angl. Digital Operations Resilience ACT) reikalavimai įpareigoja tam tikras finansų sektoriaus organizacijas privalomai atlikti TLPT tam tikru periodiškumu.
KIBERNETINĖ HIGIENA BEI ATSPARUMAS
Socialinė inžinerija
Dažnai teigiama, kad žmogus yra silpniausia jungtis skaitmeninio saugumo grandinėje. Mes manome, kad žmogiškoji klaida neretai suvaidina svarbų ir kartais net lemiamą vaidmenį žalingos kibernetinės atakos metu.
Padedame organizacijoms didinti darbuotojų sąmoningumą ir kritinį mąstymą. Tą darome atlikdami įvairias socialinės inžinerijos pratybas, tokias kaip fišingas (angl. Phishing – el. laiškų klastojimas), višingas (angl. Vishing – kenkėjiški telefoniniai skambučiai), smišingas (angl. Smishing – piktavališkos SMS žinutės), fizinio saugumo testavimas (angl. Tailgaiting) ir kt.
Mokymai
Kibernetinio saugumo mokymai gali būti pritaikyti daugumai organizacijų turinčių skirtingų saugumo poreikių. Pradedant nuo bazinio kibernetinės higienos kurso netechniniams darbuotojams iki saugaus SDLC (angl. Secure Software Development Lifecycle) programavimo adaptavimo Agile aplinkoje produktų kūrėjams ir vadovams.
Susisiekite, jei Jūsų organizacijai reikalingi su kibernetiniu saugumu susiję mokymai, ir mes pateiksime Jūsų poreikius geriausiai atitinkantį sprendimą.
Konsultacijos
Jei Jūsų organizacija patyrė kibernetinę ataką ar kilo saugumo incidentas, jei kuriate produktą ir Jums reikia plano, patarimų dėl efektyvios saugumo architektūros, mūsų komanda yra pasirengusi padėti. Konsultuojame įmones įvairiais techniniais, su informacijos saugumu susijusiais klausimais.
Kodėl BinaryRAID
Ilgametė patirtis
Daugiau nei 12 metų informacijos saugos bei įsilaužimų testavimo patirties dirbant tiek lokaliuose tiek tarptautiniuose projektuose.
Kompetencijos
Platus sukauptų įgūdžių spektras atlikus nesuskaičiuojamą kiekį patikrinimų. Mūsų kompetencijos paremtos realia patirtimi. Tačiau, jei kas nors klausia, mes atsakome: CEH, LPT, OSCP ir t.t.
Patikrinimo kokybė
Darbo pobūdis, kuris remiasi kruopščiai atliekamu rankiniu patikrinimu. Kokybė ir rezultatai, kurių nepasiekia joks automatinis įrankis.
Projektų įvairovė
Sukaupta vertinga patirtis dirbant su finansų, IT, draudimo, medicinos, telekomunikacijų, transporto, pramonės, viešuoju ir kt. sektoriais.
Atitiktys bei direktyvos
Mūsų paslaugos padeda klientams įgyvendinti reikalavimus siekiant atitikčių, tokių kaip: TIS2/NIS2, DORA, BDAR, ISO 27001, PCI DSS, SOC2, HIPAA ir kt.
Suprantamos ataskaitos
Aukšto lygio, optimizuotos ir aiškios ataskaitos, pateikiančios tinkamą saugumo apžvalgą bei rekomendacijas. Skirtos tiek techniniam, tiek ne techniniam personalui.