Pentest requirements
•Descargar como PPT, PDF•
1 recomendación•848 vistas
http://uisg.org.ua
![Цели и область применения теста 05/12/10 © ООО «Агентство активного аудита» ,[object Object],[object Object],[object Object],[object Object],[object Object],Тест на проникновение проводится путем имитации или реализации настоящих хакерских атак !!!](data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///yH5BAEAAAAALAAAAAABAAEAAAIBRAA7)
Recomendados
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (17)
Destacado
Destacado (20)
Similar a Pentest requirements
Similar a Pentest requirements (20)
Más de Glib Pakharenko
Más de Glib Pakharenko (20)
Último
Último (9)
Pentest requirements
- 1. Требования к тесту на проникновение ( Penetration Test Requirements ) Владимир Ткаченко директор ООО “Агентство активного аудита”
- 6. 05/12/10 Когда нужен пентест? © ООО «Агентство активного аудита»
- 7. 05/12/10 Что нужно для подготовки пентеста? © ООО «Агентство активного аудита»
- 8. 05/12/10 Цены и сроки © ООО «Агентство активного аудита»
- 9. 05/12/10 Критерии выбора команды пентестеров © ООО «Агентство активного аудита» Отзывы клиентов, примеры отчетов, наличие экспертов ( CISA, CISM, CEH … ) Методология должна быть описана, ранее оцененные системы должны быть похожими на те что есть у вас У поставщика должны быть процедуры обращения с информацией клиентов, и процедуры внутреннего контроля (прием на работу персонала, обработки и хранения данных и т.п., проверка качества работ ) . Каждый шаг авторизуется и протоколируется!!!
- 10. 05/12/10 Косвенн ые к ритерии выбора команды пентестеров © ООО «Агентство активного аудита» Маркетинговое исследование компаний предлагающих сканеры уязвимости (по данным Gartner февраль 2010)
- 11. Требования к отчету (что на выходе?) 05/12/10 © ООО «Агентство активного аудита»
- 12. Вопросы [email_address] www.auditagency.com.ua 044 228 15 88
Notas del editor
- В начале проведения теста аудитор не располагает информацией о внутреннем устройстве тестируемой системы и не имеет к ней прав доступа. Она представляется ему «черным ящиком». Сбор информации о системе осуществляется через воздействие на вход системы и фиксацию результатов воздействия на ее выходе. Этот метод помогает выявить неизвестные уязвимости, но он не гарантирует, что все возможные уязвимости будут найдены и протестированы. ВАРИАНТ «БЕЛЫЙ ЯЩИК» Владелец системы предварительно предоставляет аудитору информацию о внутреннем устройстве системы и права доступа к необходимым для тестирования ресурсам. Далее тест проводится исходя из этой информации. Этот метод гарантирует, что все возможные векторы атаки будут протестированы. ВАРИАНТ «СЕРЫЙ ЯЩИК» Серый ящик является комбинацией двух методов, описанных выше. В случае проведения теста по варианту «Серый ящик», владелец системы может сообщить аудитору часть информации и(или) частично дать доступ к ресурсам системы.
- Шаг 1 – Приоритезация действий На основе уровней риска ,полученных в рез-те оценки рисков (отчет за основу) – приоритезируем дальнейшие действия. При выделении ресурсов для уменьшения рисков наивысший приоритет дается рискам с неприемлемо высокими рейтингами (т.е. очень высокими (критическими) и высокими уровнями). Эти пары уязвимостей и угроз требуют немедленных коррективных действий для защиты информации банка и его функционирования. Результат – Рейтинг действий от высокого приоритета к низкому Шаг 2 – Оценка рекомендованных мероприятий по защите информации Мероприятия, рекомендованные в отчете по рискам могут не соответствовать параметрам или режимам работы отдельных ИТ систем или функциональных подразделений. На данном этапе анализируется осуществимость (совместимость и испытания реальными пользователями), а также эффективность (степень защиты и уменьшения риска) рекомендованных мероприятий. Результат – Список осуществимых мероприятий Шаг 3 – Анализ затрат и выгод Для оказания помощи менеджерам в процессе принятия ими решений и с целью идентификации экономически эффективных мероприятий проводится анализ затрат и выгод. (более детально об этом в Модуле 3)
- Поддержка - главные мероприятия безопасности и лежат в основе большинства видов деятельности в области информационной безопасности. Превентивные – фокусируются на предотвращении использования брешей в безопасности. Обнаружение и восстановление – мероприятия, которые относятся к обнаружению брешей в системах безопасности и на восстановлении систем до обороноспособного уровня.