Rozwiązania IT Znajdź najlepsze rozwiązanie dla swojego IT. Optymalizuj działanie działu IT, buduj kompetencje, audytuj rozwiązania, zapewnij cyberbezpieczeństwo.
- Blue Energy
-
- Oferta
-
- Rozwiązania IT
-
- Rozwiązania IT
-
- Testy penetracyjne
Testy penetracyjne
Testy penetracyjne to praktyczne badanie bezpieczeństwa systemu IT. Audyt polega na przeprowadzeniu kontrolowanego ataku na infrastrukturę IT, dzięki któremu Klient otrzymuje realną ocenę stanu bezpieczeństwa infrastruktury, wskazując luki bezpieczeństwa, które mogą zostać wykorzystane do skompromitowania zabezpieczeń.
Usługa zapewnia Klientowi wiedzę na temat poziomu bezpieczeństwa systemu, w tym analizę wykrytych luk bezpieczeństwa. Wiedza oraz doświadczenie naszych ekspertów pozwala na precyzyjne sformułowanie rekomendacji technicznych, pozwalających na usunięcie zagrożeń oraz optymalizację kosztów wdrożenia zabezpieczeń.
Zakres naszych testów penetracyjnych
Nasze usługi to konfigurowalny pakiet (testy sieci WiFi, systemów automatyki OT/SCADA, aplikacji web, infrastruktura krytyczna, itd.) testów penetracyjnych dla tych firm, które naprawdę chcą wiedzieć, czy są bezpieczne. Testy wykraczają poza standardową metodologię, opartą tylko na automatycznych narzędziach, wykorzystując OSINT, dane o naruszeniach w Dark Web, techniki socjotechniczne oraz szeroką wiedzę, aby wykorzystać luki w warstwie aplikacji i sieci.
Dla każdej z ww. grup dostępna jest osobna zakładka przedstawiająca rejestr z informacjami na temat poszczególnych aktywów. Każde aktywo posiada swoją metrykę, czy jak to przyjęło się w metodykach zarządzania majątkiem – paszport. Paszport umożliwia opisanie szeregu cech, które go dotyczą, od nazwy, kategorii, producenta, lokalizacji, odpowiedzialnych za eksploatację, aż po gwarancję, czy serwis. System umożliwia również opisanie zaplanowanych akcji, czy zdarzeń związanych z tym składnikiem (np. terminy serwisu, przegląd, walidacji itd.).
Rodzaje testów
- black box – z zerową wiedzą o systemie, w największym stopniu odzwierciedla rzeczywistą wiedzę potencjalnego atakującego oraz przebieg samego ataku,
- gray box – będące kompromisem pomiędzy black box i white box, zawierające elementy obu podejść, np. wykorzystanie kont użytkowników o różnych uprawnieniach,
- white box – z pełną wiedzą o badanym systemie, z pełnym dostępem do dokumentacji projektowej, kodu źródłowego, konfiguracji urządzeń sieciowych, itp.
W 2015 roku Ponemon Institute przeprowadził badanie dotyczące kosztów naruszeń danych, w ramach którego przebadano 350 organizacji z 11 różnych krajów, które doświadczyły naruszenia danych. Prawie połowa z tych naruszeń (47%) była wynikiem złośliwego ataku, a reszta wydarzyła się z powodu awarii systemu i błędów ludzkich.
Głównym powodem, dla którego testy penetracyjne są kluczowe dla bezpieczeństwa organizacji, jest fakt, że dzięki nim personel uczy się jak radzić sobie z każdym rodzajem włamania ze strony złośliwego podmiotu. Testy penetracyjne służą jako sposób na sprawdzenie, czy polityka bezpieczeństwa organizacji jest rzeczywiście skuteczna. Służą jako rodzaj ćwiczeń przeciwpożarowych dla organizacji.
Testy penetracyjne mogą również dostarczyć rozwiązań, które pomogą organizacji nie tylko zapobiegać i wykrywać napastników, ale również w skuteczny sposób usunąć takiego intruza z systemu.
Raporty z testów penetracyjnych mogą również pomóc programistom w popełnianiu mniejszej ilości błędów. Kiedy programiści zrozumieją dokładnie w jaki sposób atakujący przeprowadził atak na aplikację, system operacyjny lub inne oprogramowanie, które pomagali rozwijać, będą bardziej zaangażowani w zdobywanie wiedzy na temat bezpieczeństwa i mniej skłonni do popełniania podobnych błędów w przyszłości.
- Wiedza na temat bezpieczeństwa systemu lub infrastruktury
- Identyfikacja i analiza wykrytych luk bezpieczeństwa
- Optymalizacja kosztów zabezpieczenia infrastruktury / aplikacji
- Zawarcie w raporcie rekomendacji technicznych, pozwalające usunąć zagrożenia
Powiązane artykuły na blogu
Krajowy System Cyberbezpieczeństwa to wymagania dla operatorów usług kluczowych oraz usług cyfrowych. Czym są te wymagania opisane w dość oszczędny sposób w Ustawie? Co mówi sama ustawa o tym jak zapewnić bezpieczeństwo i ciągłość realizacji usług kluczowych?
Częstym problemem organizacji jest zapewnienie efektywnego i gwarantującego właściwą rozliczalność kanału komunikacji wewnętrznej, np. związanej z realizacją praw podmiotów danych, czy zgłaszaniem i obsługą naruszeń ochrony danych osobowych
Ile faktycznie zajmuje identyfikacja i realizacja praw podmiotu danych? Czy nasz rejestr czynności wspiera realizację praw? Czy potrafimy automatyzować procesy realizacji praw podmiotu danych?
