penetration-testing2

Тестирование на проникновение (если оно необходимо в рамках проекта, например, для доказательства актуальности отдельных угроз) предлагаем проводить с позиции либо внутреннего злоумышленника (диспетчера), либо с позиции внешнего нарушителя, имеющего доступ к коммутатору внутренней сети, либо с позиции внешнего нарушителя. При этом производится весь стек действий потенциального нарушителя, начиная от сканирования сети, заканчивая непосредственным получением доступа к некоторым управляющим элементам системы. С позиции внешнего нарушителя план действий может выглядеть следующим образом:

    1. анализ возможности получения доступа по беспроводным каналам связи, каналам связи, выходящим за пределы контролируемой зоны, через публичные сети (например, для получения доступа через MES систему);

    2. осуществление проникновения;

    3. определение управляющих элементов инфраструктуры;

    4. получение доказательств доступа к необходимым элементам инфраструктуры.

Дальнейшие шаги злоумышленника не рассматриваются — тестирование на проникновение в индустриальную зону проводить не рекомендуется. На основе результатов работ возможно получить картину реальной защищенности АС (и возможностей обнаружения действий злоумышленника) и создать план по закрытию уязвимостей и укреплению защиты.

Соответствие стандартам

Для проведения тестирования на проникновение мы используем следующие методологии:

  • Open Source Security Testing Methodology Manual (OSTMM)
  • NIST Special Publication 800-115
  • Penetration Testing Execution Standard (PTES)
  • OWASP Testing Guide
  • СТО БР ИББС-1.0-2014

С КАКИМИ СИСТЕМАМИ МЫ РАБОТАЕМ

Наша компания осуществляет аудит ключевых систем, функционирующих на предприятиях в различных отраслях. Мы учитываем специфику каждой сферы и каждого производственного процесса.

Информационные
системы

Системы
связи

Автоматизированные системы общего назначения

Автоматизированные системы управления технологическим процессом

Инженерные системы, системы обеспечения физической защиты