Этичный хакинг

Тест на проникновение

необходимостью выполнять требования


Одна из сетей аптек национального масштаба заказала у нас внешний пентест своей компьютерной сети. Заказчиком был выбран режим чёрный ящик.
В ходе проекта было обнаружено, что вся критическая инфраструктура ИТ находится за файрволом (межсетевым экраном). Казалось, нет шансов проникнуть. проверка почты на взлом Тогда мы решили проверить точки продаж, и проверили несколько аптек. В одной из них был маршрутизатор Microtik с паролем по умолчанию.

У этого типа маршрутизаторов пустые пароли по умолчанию, поэтому маршрутизатор был скомпрометирован. безопасность и человеческий фактор Маршрутизатор имел OpenVPN, хранил сертификаты локально и позволял сниффинг. Мы перехватили сетевой трафик и нашли конфиденциальную информацию системы учёта продаж и бухгалтерской системы. Затем мы извлекли сертификаты из маршрутизатора, создали ложную точку продаж и соединились с сервером VPN.

Мы представились обычной аптекой и таким образом проникли во внутреннюю инфраструктуру заказчика, которая была защищена файрволом и казалась непробиваемой. Мы изучили внутреннюю сеть Active Directory, нашли сервер SQL с доменной аутентификацией и проникли в него, используя пароль, предварительно извлечённый с помощью утилиты mimikatz.
Проект был выполнен с заключением, что проникновение возможно, и уровень информационной безопасности заказчика низкий. Заказчик получил результаты оценки рисков, информацию об уязвимостях и рекомендации о том, как их устранить, а также как усилить безопасность инфраструктуры ИТ.
Телеком-компания среднего размера, мотивированная выполнять внешние требования безопасности, запросила у нас построение комплексной системы защиты информации и проведение общей оценки безопасности. В качестве режимов пентеста заказчиком были выбраны серый ящик и белый ящик. Целевые объекты пентеста: внешние сервера, DMZ, Web-приложения, а также внутренние узлы локальной сети. безопасность сайта В ходе проекта были обнаружены следующие уязвимости и недостатки:

    • Ошибки конфигурации сети, отсутствие сегментации (отсутствие отдельного VLAN для управляющих интерфейсов устройств iLO, IMPI, IP KVM и т. д.).

    • Слабые пароли в активном сетевом оборудовании.

    • Доступность скрытых ресурсов (ADMIN$, C$, D$ и др.).



    В результате эксплуатации уязвимостей были получены документы, содержащие конфиденциальные данные. Таким образом, был смоделирован несанкционированный доступ злоумышленников. сканирование сайта на уязвимости Заказчик получил исчерпывающий отчёт об уязвимостях и способах их ликвидации.
    Крупному заводу с персоналом до 10 000 сотрудников понадобилось оценить соответствие внутренней инфраструктуры ИТ требованиям безопасности. Завод заказал у нас тест на проникновение в режимах серый ящик и белый ящик. В качестве целевых объектов пентеста были выбраны сервера локальной вычислительной сети. В ходе проекта были обнаружены следующие уязвимости и недостатки:

      • Недостатки в процессах мониторинга событий и реагирования на инциденты безопасности (отсутствие мер предотвращения вторжений и восстановления после инцидентов).

      • Недостатки управления конфигурациями (бесконтрольные тестовые и гостевые узлы в корпоративном домене).

      • Недостатки управления доступом и привилегиями (открыт вход по ssh для стандартной учетной записи для root; единая учетная запись администратора для управления DC, сетевым оборудованием и пользовательскими рабочими станциями).

      • Другие технические уязвимости (разрешено авто-обнаружение прокси для ПО).



      В ходе проекта был смоделирован несанкционированный доступ инсайдеров. Заказчик получил исчерпывающий отчёт об уязвимостях и способах их ликвидации.
      У ритейлера среднего размера были внедрены внутренние и внешние требования информационной безопасности. Данные требования предписывали выполнение полного анализа инфраструктуры предприятия, включая тесты на проникновение в режимах серый ящик и белый ящик. В ходе пентеста были обнаружены следующие уязвимости и недостатки:

        • Уязвимости в веб-приложениях (отсутствие проверок валидности запросов в приложениях, передача данных по незашифрованному каналу HTTP).

        • Недостатки управления привилегиями (доменные учетные записи различных сервисов и приложений имели слишком высокие привилегии).

        • Возможность подделки электронной корреспонденции (отсутствие систем подписи DKIM/DMARC на почтовых серверах).

        • Недостатки процесса мониторинга событий безопасности (отсутствие настройки auditd по событиям).

        • Возможность несанкционированного подключения устройств в сети (DHCP snooping, отсутствие port security).



        В ходе пентеста в качестве демонстрации уязвимостей был смоделирован несанкционированный доступ к сетевому оборудованию. Заказчик получил полный отчёт об уязвимостях и способах их ликвидации.
        Небольшая финансовая организация, подключенная к международным платёжным сисм Visa и Mastercard, столкнулась с необходимостью выполнять требования стандарта PCI DSS. Среди них есть требование регулярного проведения внешнего и внутреннего тестирования на проникновение. В результате анализа области охвата инфраструктуры (среды данных держателей карт) с заказчиком были согласованы подробные параметры внешнего пентеста, включая режимы серый ящик и чёрный ящик, а также перечень целевых объектов, которые представляли собой сервисы и веб-приложения, опубликованные в Интернет.
        В результате пентеста были обнаружены множественные уязвимости в веб-приложениях (инъекции PHP, межсайтовый скриптинг, прямые ссылки на объекты, отсутствующие механизмы обновления ПО, конфигурации веб-сервера по умолчанию, отсутствие контроля доступа на уровне функций, переполнения буфера, ошибки в коде веб-приложений).
        По результатам проекта не было обнаружено реальных путей проникновения, а только потенциальные. Заказчик получил исчерпывающий отчёт о данных путях и способах повышения защищённости инфраструктуры. поиск уязвимостей на сайте Отчёт был выполнен в соответствии с требованиями PCI DSS, включая описание методики тестирования на проникновение, которая применялась в ходе работы.
        (Названия компаний закрыты по соглашениям о неразглашении)

        Похожие статьи Pentest

        безопасность, проникновение, система, тест