Результаты пентеста в Национальном российском исследовательском университете в сфере аэрокосмических технологий

О проекте

Заказчик обратился в КРЕДО-С с целью найти все известные и неизвестные уязвимости и недостатки системы, способные привести к нарушению конфиденциальности, целостности и доступности информации в IT-инфраструктуре организации.

Цели проекта

Определить уязвимости и недостатки различного уровня риска в информационных системах, способные привести к нарушению информационной безопасности, и сформировать рекомендации по повышению уровня защищенности. Срок реализации проекта – 4 квартал 2023 года.

Решения

После общения с заказчиком и проведения анализа, сотрудники КРЕДО-С предложили провести тестирование на проникновение (пентест) с использованием метода «серого ящика».

Пентест — это имитация проникновения в систему с целью выявления уязвимостей в компьютерных системах или сетях и дальнейшая выработка рекомендаций по их устранению.

Метод «Серого ящика» предполагает целенаправленную и эффективную оценку безопасности сети, при этом, внутреннее устройство IT-системы частично известно сотрудникам, выполняющим работы.

Этапы проекта

1. Cбор сведений о структуре и всех компонентах исследуемой системы заказчика.
2. Выявление уязвимостей в системе с помощью автоматического сканирования с ручной верификацией результатов.
3. Тест на проникновение по векторам, согласованным с Заказчиком. Попытка получения доступа к данным и интерфейсам управления.
4. Анализ результатов выполнения атак, сбор и обобщение данных.

По результатам проведенных работ для заказчика был сформирован развернутый отчет, содержащий:

• Оценку состояния защищенности Системы.

• Выявленные уязвимости:

  • Описание выявленных уязвимостей.
  • Ранжирование уязвимостей по степени потенциальной опасности.
  • Последствия реализации выявленных уязвимостей.

• Рекомендации по устранению уязвимостей:

  • Общие рекомендации.
  • Изменение конфигурации и настроек оборудования.
  • Использование защитных механизмов и программных средств.
  • Дополнительные меры и средства защиты.
  • Установка необходимых обновлений для программного обеспечения.

Команда специалистов КРЕДО-С успешно провела тестирование на проникновение в IT-инфраструктуре заказчика. Были проверены все системы и используемые цифровые сервисы на уязвимости. Благодаря проведенным работам клиент смог определить «слабые места» и теперь примет меры по их устранению, что в свою очередь, поможет сохранить конфиденциальные данные, репутацию и бюджет организации.