Тестирование на проникновение в инфраструктуру аэрокосмического университета

Национальный российский научно-исследовательский университет в сфере аэрокосмических технологий обратился в КРЕДО-С с целью найти все известные и неизвестные уязвимости и недостатки своих информационных систем, способные привести к нарушению конфиденциальности, целостности и доступности информации в ИТ-инфраструктуре организации. Задача проекта — определить уязвимости и недостатки различного уровня риска в информационных системах, способные привести к нарушению свойств информационной безопасности, и сформировать рекомендации по повышению уровня защищённости. Срок реализации проекта — 4 квартал 2023 года.

Тестирование на проникновение методом «серого ящика» — наиболее распространённый подход в корпоративных и образовательных средах. Тестировщик получает частичный контекст об инфраструктуре (схожий с уровнем осведомлённости внутреннего злоумышленника или скомпрометированного подрядчика), что позволяет реалистично смоделировать угрозу без лишних временных затрат на полную разведку.

Четыре последовательных этапа: 1) Сбор сведений — сетевая топология, перечень систем, открытые сервисы; 2) Сканирование — автоматизированный поиск CVE с ручной верификацией ложных срабатываний и ручной поиск логических уязвимостей; 3) Эксплуатация — попытки проникновения по согласованным векторам с документированием каждого шага; 4) Отчёт — ранжирование уязвимостей по CVSS v3.1 и БДУ ФСТЭК, рекомендации по устранению.

Для образовательных организаций отдельный акцент — защита персональных данных. ИСПДн университета обрабатывает данные студентов, преподавателей и абитуриентов. Компрометация этих данных создаёт не только юридические риски (152-ФЗ), но и репутационный ущерб.

Рекомендации по устранению в отчёте структурированы по трём уровням: изменение конфигурации (быстрые меры), обновление ПО (плановые меры), архитектурные изменения (стратегические меры). Это позволяет команде ИБ университета самостоятельно приоритизировать и реализовывать устранение без сторонних подрядчиков.

Специалисты КРЕДО-С предложили провести тестирование на проникновение (пентест) с использованием метода «серого ящика». Метод предполагает целенаправленную и эффективную оценку безопасности сети, при этом внутреннее устройство ИТ-системы частично известно специалистам, выполняющим работы. Этапы реализации проекта: 1) сбор сведений о структуре и всех компонентах исследуемой системы заказчика; 2) выявление уязвимостей с помощью автоматического сканирования с ручной верификацией результатов; 3) тест на проникновение по векторам, согласованным с заказчиком; 4) анализ результатов, сбор и обобщение данных.

По результатам сформирован отчёт, содержащий оценку состояния защищённости, описание уязвимостей с ранжированием по степени опасности, вероятности использования и возможным последствиям, а также рекомендации по устранению.