Testy infrastruktury IT

Zgodnie z metodyką Optima Partners skupiamy się głównie na przeprowadzaniu testów manualnych. Testy automatyczne są tylko dodatkiem do testów manualnych.

Realizujemy też dla Klientów testy automatyczne w ramach cyklicznych skanów bezpieczeństwa aplikacji w celu szybkiej identyfikacji podatności tzw. low hang fruits.

Posiadamy zespół:

• ponad 20 inżynierów bezpieczeństwa (pentesterów) posiadających m.in. następujące certyfikaty: OSCE, OSCP, OSWE, OSEE, CPTE, CEH.

Tak, posiadamy certyfikaty potwierdzające kwalifikacje zespołu takie, jak:

• 1. CISSP (Certified Information Systems Security Professional),
  2. OSCE (Offensive Security Certified Expert),
  3. OSCP (Offensive Security Certified Professional),
  4. OPST (OSSTMM Professional Security Tester),
  5. OSEE (Offensive Security Exploitation Expert),
  6. OSWE (Offensive Security Web Expert),
  7. OSWP (Offensive Security Wireless Professional),
  8. CEPT (Certified Expert Penetration Tester),
  9. CEH (Certified Ethical Hacker),
  10. Certified Penetration Tester (CPT),
  11. CSX Cybersecurity Practitioner (CSX-P),
  12. GPEN (GIAC Penetration Tester),
  13. GWAPT (GIAC Web Application Penetration Tester),
  14. GMOB (GIAC Mobile Device Security Analyst),
  15. GXPN (GIAC Exploit Researcher and Advanced Penetration Tester),
  16. Industrial Automation and Control Systems Security (ISA-99)
  17. LPT (Licensed Penetration Tester),
  18. ECSS (EC-Council Certified Security Specialist),
  19. AWE (Advanced Windows Exploitation),
  20. eCPPT (eLearnSecurity Certified Professional Penetration Tester),
  21. eJPT (eLearnSecurity Junior Penetration Tester),
  22. eMAPT (eLearnSecurity Mobile Application Penetration Tester),
  23. eWPT (eLearnSecurity Web application Penetration Tester),
  24. eWPTX (Web application Penetration Tester eXtreme),
  25. CompTIA Security+,
  26. Systems Security Certified Practitioner (SSCP),
  27. CompTIA Project+,
  28. CIA (Certified Internal Auditor),
  29. CISA (Certified Information Security Auditor),
  30. CISM (Certified Information Security Manager),
  31. Audytor Wiodący ISO 27001,
  32. Audytor wewnętrzny SZBI BS 7799,
  33. Audytor Wiodący ISO 22301
  34. CRISC (Certified in Risk and Information Systems Control),
  35. CBCP – Certified Business Continuity Professional (DRII),
  36. Certified ISO 31000 Risk Manager (PECB),
  37. ITIL Foundation,
  38. ITIL Intermediate,
  39. Prince2 Practitioner.

i wiele więcej…

Do realizacji testów wykorzystujemy m.in. następujące narzędzia:

• Narzędzia wspomagające testy infrastruktury:

• • nmap – skaner portów, detektor usług i systemów operacyjnych
  • Nessus (z Professional Feed) – skaner podatności, analizator konfiguracji i zgodności ze standardami
  • metasploit – środowisko programistyczne do przeprowadzania ataków
  • wireshark – sniffer
  • tcpdump – sniffer konsolowy
  • dsniff – sniffer wspomagający przechwytywanie haseł
  • OpenVAS
  • narzędzia dystrybucji Kali Linux (np. netcat, openssl i inne)
  • hping3
  • Autorskie narzędzia i aplikacje wspomagające testy

Autorska metodyka Optima Partners oparta jest o międzynarodowe normy i standardy takie jak:

• • Testy infrastruktury
    
    • The Open Source Security Testing Methodology Manual (OSSTMM)
    • Offensive Security and Backtrack / Kali Linux
    • Penetration Testing Execution Standard (PTES)
    • P-PEN Wojskowej Akademii Technicznej
    • Penetration Testing Framework (PTF)
    • EC-Council Licensed Penetration Tester methodology (LPT)
    • Information Systems Security Assessment Framework (ISSAF)
    • NIST PUB 800-115
    • NIST 800-42, Guideline on Network Security Testing
    • SANS 20 Critical Security Controls
    • Zalecenia organizacji SANS Institute
    • Offensive Security
    • EC-Council
    • Web Application Security Consortium Threat Classification (WASC-TC)
    • CIS Benchmark
    • STIG
    • Wytyczne hardeningu publikowane przez producentów oprogramowania i sprzętu (np. Microsoft, Cisco, VMware)
  • Szacowanie ryzyk
    
    • Metryka WASC Threat Classification
    • System scoringowy CVSS
    • OWASP Risk Rating Methodology

W zależności od złożoności testowanego systemu testy zwykle trwają od 1 do 6 tygodni.

Wynikiem naszych prac jest raport z niezależną oceną poziomu bezpieczeństwa wg międzynarodowych standardów (CVSS, OWASP), który może być zaprezentowany zainteresowanym stronom (udziałowcom, kontrahentom, klientom) wraz z praktycznymi rekomendacjami.

Raport obejmuje:

• Streszczenie dla Zarządu, obejmujące:
  
  • Cel i zakres wykonanych prac;
  • Zastosowane podejście;
  • Podsumowanie wyników i wykonanych prac opisane biznesowym (nietechnicznym) językiem;
• Szczegółowy, techniczny opis zidentyfikowanych podatności, obejmujący:
  
  • Zakres testów;
  • Datę realizacji testów;
  • Opis zastosowanych metodyk i technik;
  • Narzędzia wykorzystane do realizacji testów;
  • Zestawienie zidentyfikowanych podatności zawierające, co najmniej:
    
    • identyfikator podatności,
    • nazwę,
    • opis,
    • opis wpływu,
    • prawdopodobieństwo jej wykorzystania oraz 
    • sposoby jej wyeliminowania.
  • Szczegółowy, techniczny opis zidentyfikowanych podatności, obejmujący:
    
    • Tytuł – tytuł zidentyfikowanej podatności;
    • Opis podatności – szczegółowy, techniczny opis zidentyfikowanych podatności;
    • Proof of concept (wyniki analizy możliwości wykorzystania podatności):
      
      • sposób wywołania podatności;
      • informacje potwierdzające zidentyfikowane podatności np.
        
        • przypadki testowe (zrzuty ekranów, przykłady zmanipulowanych zapytań), które dokumentują istnienie podatności;
        • listing poleceń źródłowych stanowiące dowód występowania podatności (tam gdzie ma to zastosowanie);
        • fragmenty logów (tam gdzie ma to zastosowanie);
  • Skutki wykorzystania podatności (szczegółowy opis możliwych skutków wykorzystania podatności);
  • Poziom ryzyka wg CVSS lub OWASP RRM oraz w skali:
    
    • KRYTYCZNY/Critical,
    • WYSOKI/High,
    • ŚREDNI/Medium,
    • NISKI/Low,
    • INFORMACYJNY/Info.
  • Odniesienie do baz danych o podatnościach;
  • Rekomendacje – opis praktycznych działań, jakie należy podjąć w celu eliminacji zidentyfikowanych podatności lub minimalizacji ryzyka z nich wynikającego oraz uwzględniający specyfikę działania Klienta wraz z określeniem sposobu ich wdrożenia.

Na bieżąco komunikujemy się z Klientem w czasie projektu. Do realizacji projektu dedykujemy:

• Pentestera Wiodącego, z którym można się na bieżąco kontaktować w sprawach dotyczących realizacji testów, zidentyfikowanych podatności, itp.
• Project Managera, z którym można się na bieżąco kontaktować w sprawach dotyczących zarządzania projektem, terminów, problemów, ryzyk itp.

Tak, zakres naszych prac obejmuje:

1. wsparcie w zakresie usuwania wykrytych podatności
2. re-testy
3. szkolenia w zakresie usuwania podatności.

W zależności od:

• Poziomu wrażliwości / poufności przetwarzanych danych
• Poziomu ryzyka naruszenia bezpieczeństwa
• Liczby zmian w danym systemie

rekomendujemy przeprowadzanie testów penetracyjnych cyklicznie z częstotliwością od 3 do 24 miesięcy.

Oferujemy wsparcie w tworzeniu strategii ciągłego monitorowania bezpieczeństwa.

Tak.

Stosujemy m.in. następujące zabezpieczenia zgodne z ISO 27001:

• Kontrola dostępu do serwerowni, serwerów, zasobów sieciowych, na których składowane są dane i raporty.
• Szyfrowanie dysków twardych.
• Szyfrowanie plików za pomocą PGP.
• Szyfrowanie załączników przesyłanych emailem za pomocą PGP.
• Szyfrowanie treści emaili.
• Ciągłe monitorowanie dostępu do danych i raportów.
• Itp.