Penetration Test – Penetration Testing – Έλεγχος Ευπαθειών Δικτύου

Έλεγχος ευπαθειών δικτύου (Penetration Test ή Penetration Testing Ελλάδα)

Διαβαζετε αυτή την ενότητα για το Penetration Test ή Testing στην Ελλάδα διότι αναζητήσατε έναν απο τους παρακάτω όρους, οι οποίοι αφορούν το θέμα: Έλεγχος ευπαθειών δικτύου, ιστοσελίδας ή eshop.

Αν αναζητάτε κάτι απο τα παρακάτω θα διαβάσετε με απλά λόγια τις επιλογές που περέχει η εξειδικευμένη ομάδα μηχανικών της TicTac ούτως ώστε να καλύψει τις ανάγκες σας:

• Έλεγχος ασφαλείας πληροφοριακών συστημάτων και διαδικτυακών πόρων

• Penetration Test

• Penetration Testing

• Έλεγχος ευπαθειών δικτύου και επισήμανση κενών ασφαλείας

• Έλεγχος ευπαθειών ιστοσελίδας και κάλυψη κενων ασφαλείας

• Έλεγχος ευπαθειών eshop

• Security Audit

• Έλεγχος Ασφάλειας Δικτυακής Υποδομής

• Εντοπισμός κενών ασφαλείας δικτύου

Τι κινδύνους αντιμετωπίζει σήμερα ένα εταιρικό περιβάλλον;

Κάθε εταιρικό περιβάλλον ή οργανισμός βασίζεται στους μηχανικούς πληροφορικης που διαθέτει, είτε εσωτερικοί είτε εξωτερικοί συνεργάτες, ούτως ώστε να διασφαλίσουν οτι οι εσωτερικές υποδομές (εσωτερικό δίκτυο, Servers, Backups, κοινόχρηστοι πόροι κλπ) ή οι εξωτερικοί πόροι (Website/eshop) είναι ασφαλείς απο εξωτερικές επιθέσεις.

Όμως πρακτικά αυτό στις περισσότερες περιπτώσεις δεν γίνεται σωστά καθώς τα κενά ασφαλείας που παρουσιάζονται καθημερινά, είναι πάρα πολλά, με αποτέλεσμα να μην υπάρχει η απαραίτητη τεχνογνωσία απο τους μηχανικούς πληροφορικής που εργάζονται στον οργανισμό, να γνωρίζουν όλες τις ευπάθειες.

Πλέον υπάρχουν εξειδικευμένοι μηχανικοί πληροφορικής που εξειδικεύονται στα κενά ασφαλείας (Cyber Security Experts), οι οποίοι σε συνεργασία με το υπάρχον προσωπικό ή εξωτερικούς συνεργάτες του οργανισμού σας, μπορούν να εντοπίσουν πολύ περισσότερα κενά ασφαλείας και να διεξάγουν έναν έλεγχο με αυστηρότερα standards, ούτως ώστε να γνωρίζετε κι εσείς απο τι κινδυνέυετε και να επιλέξετε που θα εστιάσετε.

Τα περιστατικά Ransomware και Cyber Attacks (εξωτερικές δικτυακές επιθέσεις) έχουν πολλαπλασιαστεί τα τελευταία χρόνια και μπορεί να κοστίσουν σε μια επιχείρηση την βιωσιμότητα της. Δεν είναι τυχαίο το γεγονός οτι κάποιοι οργανισμοί, αναγκάστηκαν να κάνουν παύση της λειτουργίας τους καθώς δεν μπόρεσαν να ανακάμψουν μετά απο μια ψηφιακή επίθεση που τους κόστισε τα δεδομένα τους.

Τί είναι ο Ελεγχος Τρωτών Σημείων Δικτύου (Penetration Test);

ΠΑΚΕΤΟ 1: CHECKLIST ΓΙΑ RANSOMWARE

1. Patch level – patching policy applied
2. Domain: είναι όλα τα συστήματα μέλη σε domain με σχετικές πολιτικές περιορισμού δικαιωμάτων χρήστη;
3. Proxy: Χρησιμοποιείται κάποιος proxy για access στο Internet;
4. Λύσεις UTM, firewall, IDS/IPS που χρησιμοποιούνται.
5. Χρήση antimalware (enterprise antivirus + endpoint security)
6. Backup policy

ΠΑΚΕΤΟ 6: ΕΛΕΓΧΟΣ ΑΣΦΑΛΕΙΑΣ ΥΠΟΔΟΜΗΣ

1. Έλεγχος περιμέτρου (Penetration Test): ανίχνευση ενεργών επικοινωνιών, πορτών και πρωτοκόλλων.
2. Σάρωση περιμέτρου και ανεύρεση ευπαθειών σε συστήματα, λογισμικό, ενεργές υπηρεσίες και πρωτόκολλα επικοινωνίας καθώς και στην παραμετροποίηση τους.
3. Ανακάλυψη πληροφοριών για το δίκτυο, τα συστήματα και τις υπηρεσίες, οι οποίες μπορούν να χρησιμοποιηθούν για περαιτέρω επιθέσεις από κακόβουλους χρήστες του διαδικτύου.
4. Έλεγχος web εφαρμογών για πιθανές ευπάθειες, όπως εκτέλεση κακόβουλων εντολών ή κώδικα, παραβίαση μηχανισμών ελέγχου και αυθεντικοποίησης, υποκλοπή πληροφορίας, ανεπαρκής παραμετροποίηση ασφάλειας, χρήση ευάλωτου λογισμικού κ.α.
5. Εσωτερική σάρωση κάθε συστήματος της επιχείρησης και ανεύρεση ευπαθειών σε λογισμικό, ενεργές υπηρεσίες και πρωτόκολλα επικοινωνίας καθώς και στην παραμετροποίηση τους.
6. Έλεγχος συστημάτων και παραμετροποίησης των επιμέρους συστατικών τους:
   – Λειτουργικό σύστημα: Παραμετροποίηση, hardening, μηχανισμοί αυθεντικοποίησης, παραμετροποίηση επιμέρους ενεργών πρωτοκόλλων, προστασία ευαίσθητης πληροφορίας κατά την αποθήκευση και τη μεταφορά, μηχανισμοί και πρωτόκολλα κρυπτογράφησης, μηχανισμοί καταγραφής ενεργειών και συμβάντων συστήματος κ.α.
   – Βάσεις δεδομένων:  Παραμετροποίηση, hardening, μηχανισμοί αυθεντικοποίησης, προστασία ευαίσθητης πληροφορίας κατά την αποθήκευση και τη μεταφορά, μηχανισμοί και πρωτόκολλα κρυπτογράφησης, μηχανισμοί καταγραφής ενεργειών και συμβάντων κ.α.
   – Επιμέρους συστήματα: Παραμετροποίηση web servers, application servers, εσωτερικών web εφαρμογών
7. Έλεγχος παρείσδυσης (penetration testing): δοκιμές επίθεσης σε εκμετάλλευση των ευπαθειών που προέκυψαν από τους ελέγχους στο (α) με στόχο την επίτευξη πρόσβασης ή και ελέγχου σε συστήματα, πληροφορία, επικοινωνίες και υποδομή.
8. Έλεγχος δικτυακής υποδομής: Αρχιτεκτονική δικτύου, διαχωρισμός δικτύου και επικοινωνιών, παραμετροποίηση routers, switches, firewalls, επιπλέον μηχανισμών ασφαλείας (IDS, IPS, Antivirus κτλ.), μηχανισμού αυθεντικοποίησης και πρόσβασης στο δίκτυο και τον εξοπλισμό του.
9. Έλεγχος ασφαλούς παραμετροποίησης virtual υποδομής. 
10. Έλεγχος Τερματικών: Παραμετροποίηση, μηχανισμοί ασφάλειας, client εφαρμογές.
11. Mobile Εφαρμογές: έλεγχος λειτουργίας, επικοινωνιών, παραμετροποίησης, δικαιωμάτων, μηχανισμών αυθεντικοποίησης και διαχείρισης πρόσβασης, μηχανισμών κρυπτογράφησης δεδομένων, ανάλυση κώδικα.
12. Έλεγχος φυσικής ασφάλειας υποδομής.
13. Έλεγχος μηχανισμών καταγραφής και παρακολούθησης προσβάσεων, συμβάντων συστημάτων, υποδομών, δημιουργίας ειδοποιήσεων κινδύνου, διαδικασιών αντιμετώπισης περιστατικών ασφάλειας.

• Λίστα ευρημάτων αδυναμιών και ευπαθειών σε σειρά κρισιμότητας.
• Επεξήγηση, ανάλυση του κάθε ευρήματος.
• Πιθανούς φορείς επίθεσης και διαθεσιμότητα εργαλείων εκμετάλλευσης της κάθε αδυναμίας.
• Επιπτώσεις για την επιχείρηση και τις υπηρεσίες της.
• Αποτελέσματα ελέγχου παρείσδυσης με αποδεικτικά στοιχεία, ανάλυση ενεργειών και βημάτων επίτευξης.
• Πιθανούς τρόπους επίλυσης των ευρημάτων.
• Ανάλυση αρχιτεκτονικής, συμβουλές ενίσχυσης της ασφάλειας της υποδομής και αντιμετώπισης περιστατικών ασφάλειας.