Игра Watch Dogs прекрасно описывает недалекое будущее: вокруг всевозможные девайсы, средства выдачи и приема наличных, а также разнообразные имеющие доступ в интернет устройства, нашпигованные уязвимостями, эксплуатация которых позволяет хакеру извлечь определенную выгоду. Например, в игре главный герой при помощи смартфона может скомпрометировать систему видеонаблюдения, получив тем самым возможности вести слежку и добывать дополнительную информацию.
Проведение технического аудита в подавляющем большинстве случаев сопровождается анализом защищенности сетевого периметра. Практика показывает, что этап проведения внешнего теста на проникновение является для аудитора задачей, которая требует ожидания. За время, пока пентестеры врезаются в инфраструктуру, пытаясь перевести свою деятельность на внутрекорпоративный уровень, аудитор проводит ряд организационных мероприятий, связанных с получением дополнительных данных для последующей оценки защищенности методом «белого ящика». Иногда встречаются ситуации, когда он вынужден выносить вердикт исключительно по результатам теста на проникновение или в значительной степени опираться на эти результаты. Встает вопрос оптимизации в реальном времени получаемой от пентестера информации.
Проведение «мероприятий по оценке соответствия требованиям стандарта безопасности данных индустрии платежных карт (PCI DSS)» стало одной из востребованных услуг среди их прочего спектра, предоставляемой консалтинговыми организациями. Насколько эта оценка отражает реальное положение дел в «пластиковой» инфраструктуре? На операционном столе стандарт, требования которого некоторые считают «панацеей» от утечки платежных данных.
Стремительно растет количество операций с использованием пластиковых карт: онлайн-платежи, безналичный расчет в торгово-сервисных предприятиях, манипуляции с банковским счетом в системах онлайн-банкинга и прочие платежные приложения от поставщиков услуг. Соответственно, расширяется инфраструктура, в которой циркулируют информация о держателях карт и критичные аутентификационные данные. В случае попадания этой информации или ее части в руки к злоумышленникам финансовые потери несут как банки-эмитенты, так и конечные пользователи.
Ознакомившись с постом Дмитрия Евтеева, касающегося тестов на прониктновение, согласился с мыслью, что при грамотной обработке результатов пентеста можно улучшить стратегию укрепления СУИБ. Однако ни один пентестер не предоставит полной картины безопасности исследуемой инфраструктуры, ведь работа заключается в проникновении, а не в обнаружении всех «узких» и потенциально «узких» мест.
Смысл не в том, что в идеале тест на проникновение должен комплексно оценить степень защищенности объекта, а в том, что на российском рынке услуг своя «реальность». Здесь пентестер (a.k.a. хакер) получает свои кровные по факту проникновения, работая по шаблонным и хорошо отработанным методикам. Как заметил Крис Касперски, тест на проникновение по большей части, осуществляется в «фоновом режиме».
Другое дело – security-консультант, получающий «на руки» всю топологию исследуемого объекта и имеющий доступ ко всем его «углам». На мой взгляд, грамотный конслатинг должен включать в себя процедуру пентеста как подмножество.
Факт проникновения не может давать полной картины защищенности. И "расширенность" тестирования прямо пропорциональна степени финансовой "вложенности", что, естесственно, уже стремится к расценкам консалтинга.