Наши клиенты требуют отчёт о тестировании сети на проникновение, что именно проверяется в нашей инфраструктуре в этом процессе?

В форме по информационной безопасности, которую прислали ваши клиенты, точно указано «внешняя сеть» или «внутренняя сеть»? Корпоративные компании иногда присылают стандартные шаблоны напрямую. Если ваши API-эндпоинты и веб-сервисы, обрабатывающие клиентские данные, находятся только на серверах в облаке вы можете снизить стоимость, не включая офисную сеть в объём работ.

Основные элементы, которые проверяются: оставленные открытыми порты SSH и RDP, алгоритмы шифрования VPN-сервера, уязвимости передачи зоны DNS и устаревшее ПО веб-серверов. Тестировщики не роняют систему; когда они находят уязвимость, прежде чем перейти к этапу повышения привилегий или чтения данных, они подтверждают ситуацию скриншотом и останавливают шаг.

В прошлом году мы столкнулись с похожим запросом, за нашу структуру из 4 серверов в Москве заплатили 180 000 RUB. Тест длился 4 рабочих дня, подготовка отчёта заняла 3 дня. Нашли 2 уязвимости среднего уровня авторизации и необновлённую библиотеку. Мы внесли исправления и прогнали тест повторно, клиент без проблем утвердил отчёт.

Осторожнее с теми, кто на рынке даёт предложения в диапазоне 50 000–70 000 RUB. Большинство просто запускают автоматический сканер уязвимостей и отдают сырой PDF-файл как отчёт. Службы безопасности корпоративных клиентов сразу замечают такие поверхностные сканирования и не принимают их.

Прежде чем подписывать договор, обязательно зафиксируйте письменно эти три пункта: 1) Тесты проводятся вне рабочих часов и в соответствии с планами резервного копирования, 2) При обнаружении критической уязвимости во время теста — немедленное уведомление без ожидания, 3) После закрытия уязвимостей — однократный бесплатный повторный тест в течение 30 дней.

перед началом теста обязательно сделайте моментальный снапшот-бэкап всех виртуальных серверов. и ещё: в объявленные дни теста не делайте в инфраструктуре никаких крупных обновлений или выкаток нового кода логи трафика перемешаются.

Будет полезно запросить у аудиторской фирмы, у которой вы будете заказывать услугу, сертификаты специалистов. Наличие у технического персонала международно признанных сертификатов по этичному хакингу или сетевой безопасности обеспечит быстрое утверждение вашего аудиторского отчёта комитетом по информационной безопасности корпоративного клиента.

Взял на заметку спасибо.

У нас было так. Изменение платежных данных никогда не подтверждается через тот же канал.

Прежде чем принимать решение, посмотрите, какие данные у вас есть. Проверено опытом.

Очень актуальная тема.

Здесь нужно провести различие. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Конечно если ваша ситуация отличается, всё меняется.

Хочу предупредить. Непроверенная резервная копия — не резервная копия.

Пытаться сделать это в одиночку — самый дорогой путь. Я бы пошел этим путем.

Не могли бы вы это пояснить? Большая часть потерь времени копится на задачах, ожидающих согласования.

На этом всё, извините, если затянул.

Вы правы. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Полностью согласен. Время обнаружения проблемы напрямую определяет ее стоимость.

Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Мне тоже интересно. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Время обнаружения проблемы напрямую определяет ее стоимость. Оставлю как заметку, пригодится.

Я проходил через это расскажу. Первые три месяца все идет хорошо проблемы всплывают на четвертом.

Проверено опытом.

Я маленький бизнес расскажу со своей стороны. То, что делают все не значит, что это правильно.