Проведение анализа защищенности является обязательным при выполнении ряда нормативных требований, а также рекомендуется для выявления наиболее уязвимых компонентов ИТ-инфраструктуры, оперативного получения заказчиками информации о текущем уровне защищенности и рекомендаций по первоочередным мерам защиты информации.
Результаты анализа защищенности используются для планирования мероприятий по защите информации (модернизации систем защиты информации) и подготовке к аттестации.
Мы проверим сайт и веб-приложения, серверы, сетевое оборудование и рабочие места, программное обеспечение и средства защиты информации.
Анализ защищенности может включать:
Анализ внешнего периметра. Полная проверка доступных из Интернет ресурсов, поиск уязвимостей операционных систем и сетевой инфраструктуры (сбор общедоступной информации о внешних ресурсах и инфраструктуре, поиск уязвимостей с использованием средств анализа защищенности (сканеров защищенности и специализированного ПО), тестирование и подтверждение выявленных уязвимостей
Анализ внутренней сети. Исследование внутренней сети организации, персональных компьютеров, серверов и сетевого оборудования, включая сканирование сетевых портов объектов тестирования, анализ сетевого взаимодействия, сбор данных о сетевых сервисах организации, определения типов и версий сетевых сервисов и приложений, выявление уязвимостей с использованием сканеров защищенности, ручная проверка уязвимостей в обнаруженных сервисах, моделирование атак на уровне сетевых сервисов и приложений, использование обнаруженных уязвимостей, чтобы оценить возможности получения доступа к защищаемой информации и объектам тестирования
Анализ защищенности веб-приложений. Проверка возможностей нарушителя по получению доступа к компонентам веб-приложения и конфиденциальной информации (сбор общедоступной информации о внешних ресурсах заказчика из сети Интернет, ручной и автоматический поиск уязвимостей в веб-приложении, тестирование выявленных ошибок и уязвимостей
Оценка осведомленности сотрудников в вопросах информационной безопасности и их действий (моделируется вредоносная рассылка на e-mail сотрудников и отслеживается их реакция на данную рассылку по различным сценариям)
Оказание услуг выполняется после согласования с Заказчиком методов и инструментов контроля, обеспечивающих минимизацию возможных негативных последствий для информационных систем Заказчика.
Формируемые по результатам оказания услуг отчетные материалы включают:
Сведения для руководства: оценка текущего уровня защищенности, общие сведения по количеству и степени опасности выявленных уязвимостей, рекомендации по повышению уровня защищенности