Анализ защищённости

В отличие от пентеста, анализ защищённости не эксплуатирует уязвимости — он их систематически выявляет и каталогизирует. Это обязательный первый шаг перед пентестом, внедрением SOC и аттестацией системы. Для государственных систем и объектов КИИ это требование регулятора: приказы ФСТЭК № 117 (ГИС, с 01.03.2026 — вместо отменённого № 17), № 21 (ИСПДн), № 239 (ЗОКИИ).

Этапы анализа защищённости.

С 25 ноября 2025 года порядок работ задан методическим документом ФСТЭК России «Методика анализа защищённости информационных систем» (разбор по пунктам — в нашей статье «Методика анализа защищённости ИС от 25.11.2025»). Мы проводим работы по его структуре — четыре этапа, каждый закреплён пунктом документа.

1. Сбор исходной информации (п. 3.1) — инвентаризация сетевых адресов, портов, служб и сервисов на периметре и во внутренней сети. От вас — перечни IP-адресов и состав средств (пп. 3.1.3–3.1.5), остальное собираем сами.

2. Внешний анализ уязвимостей (п. 3.2) — проверка со стороны нарушителя, не имеющего доступа внутрь: периметр, публичные сервисы, веб-приложения.

3. Внутренний анализ уязвимостей (п. 3.3) — проверка от лица нарушителя, уже получившего доступ во внутреннюю сеть: сегментация, права, конфигурации СЗИ.

4. Оценка выявленных уязвимостей (п. 3.4) — критичность считается не экспертным мнением, а по отдельной Методике оценки уровня критичности уязвимостей (п. 3.4.3). Если уязвимостей нет — выдаём положительное заключение (п. 3.4.2). Если есть — уязвимости критического и высокого уровней подлежат обязательному устранению (п. 3.4.4), после чего проводится повторный анализ (п. 2.4).

Чем мы выполняем эти этапы — инструментарий ниже.

Планирование — определяем границы тестирования, согласовываем методологию, формируем перечень проверяемых систем. Учитываем категорию системы (ГИС, ИСПДн, объект КИИ) и актуальные угрозы из Банка данных угроз ФСТЭК (БДУ ФСТЭК).

Автоматизированное сканирование — сертифицированные сканеры (MaxPatrol VM, RedCheck, Сканер-ВС) выявляют известные уязвимости в сетевых сервисах, веб-приложениях, операционных системах, СУБД. Каждое срабатывание верифицируется вручную для исключения ложных результатов. Уязвимости идентифицируются по базе БДУ ФСТЭК — с учётом российского ПО и оборудования (включая Astra Linux, РЕД ОС, Альт, Postgres Pro, Ред Софт).

Ручной анализ конфигураций — проверяем правила межсетевых экранов, политики контроля доступа, настройки антивирусной защиты, конфигурацию IDS/IPS. Выявляем ошибочную сегментацию сети, избыточные права, слабые парольные политики, устаревшее ПО без патчей.

Тестирование механизмов безопасности — проверка аутентификации, разграничения доступа, регистрации событий, резервного копирования. Оцениваем устойчивость к типовым атакам: перебор паролей, эксплуатация известных CVE, обход СЗИ.

Отчёт — уязвимости классифицируются по CVSS (критический, высокий, средний, низкий). Для каждой: описание, затронутые активы, потенциальный ущерб, рекомендации с приоритетами. При необходимости — расчёт показателя защищённости КЗИ по приказу ФСТЭК №117 (действует с 01.03.2026).

Типичные уязвимости, которые находим в инфраструктуре заказчиков: неактуальные версии Active Directory с уязвимостями Zerologon/PrintNightmare, публично доступные RDP и SMB-порты, одинаковые пароли локальных администраторов, SQL-инъекции в самописных веб-приложениях, избыточные права сервисных учётных записей, отсутствие сегментации между офисной сетью и сегментом АСУ ТП. Каждая такая находка — потенциальная точка входа для атакующего.