Embed Size (px)
Citation preview
Методологии аудита информационной безопасности
Александр Дорофеев
CISSP, CISA
Аудит - систематический, независимый и документированный процесс получения свидетельств аудита и объективного их оценивания с целью установления степени выполнения согласованных критериев аудита
Аудит - проверка выполнения требований
4
Информационная безопасность
Люди Процессы Технологии
Критерии аудита ИБ
5
• способность сотрудников противостоять действиям злоумышленников, пытающихся с помощью обмана получить конфиденциальную информацию
• способность сотрудников противостоять действиям злоумышленников, пытающихся с помощью обмана получить конфиденциальную информацию
Люди
• требования корпоративных политик, международных стандартов, законодательства
• требования корпоративных политик, международных стандартов, законодательства
Процессы
• уровень защищенности информационных систем от внутренних и внешних злоумышленников
• уровень защищенности информационных систем от внутренних и внешних злоумышленников
Технологии
Оценка процессов ИБ
Оценка «бумаги» Оценка
«бумаги» Оценка
«жизни» Оценка
«жизни»
6
Подходы к оценке защищенности
Классический тест на проникновение Классический тест на проникновение
Сканирование на наличие
уязвимостей
Сканирование на наличие
уязвимостей
Анализ конфигурации
системы
Анализ конфигурации
системы
Комплексный подход
Комплексный подход
7
Что такое тестирование на проникновение?
• Метод оценки защищенности информационной системы или сети с помощью имитации атаки (действий злоумышленников).
• English: penetration testing, ethical hacking
8
Модель злоумышленника
9
Классический тест на проникновение
• Имитация действий реального злоумышленника – поиск первой уязвимости, позволяющей получить доступ к системе
• Больше искусство, чем аудит. Качество сильно зависит от уровня специалиста
• Обычный результат: несколько опасных уязвимостей
• Высокий риск нарушения доступности систем
10
Сканирование
• Использование исключительно сканеров для поиска уязвимостей
• Качество сильно зависит от используемого сканера.
• Результат: множество уязвимостей различного уровня опасности
• Средний риск нарушения работоспособности систем
11
Анализ конфигурации системы
• Проверка настроек систем в соответствии с рекомендуемыми вендорами или сообществами профессионалов по ИБ (NIST, Center of Internet Security).
• Результат: множество уязвимостей различного уровня опасности
• Низкий риск нарушения работоспособности систем
12
13
Комплексный подход
Сканирование
Тестирование на
проникновение
Анализ конфигурации
Комплексное тестирование • сбор информации о внешних ресурсах в Интернет
• сканирование сети
• согласование перечня с заказчиком
• сбор информации о внешних ресурсах в Интернет
• сканирование сети
• согласование перечня с заказчиком
идентификация целевых
сетевых узлов
• с помощью сканеров
• вручную (по баннерам, ошибки конфигурации)
• с помощью сканеров
• вручную (по баннерам, ошибки конфигурации) поиск уязвимостей
• подбор паролей
• перехват трафика
• запуск эксплойтов
• и т.д.
• подбор паролей
• перехват трафика
• запуск эксплойтов
• и т.д.
эксплуатация уязвимостей и
проведение атак
• запуск локальных эксплойтов
• использование собранной информации для доступа к другим системам
• запуск локальных эксплойтов
• использование собранной информации для доступа к другим системам
расширение привилегий и зоны влияния
14
Цели оценки защищенности
15
• Демонстрация незащищенности систем
Классический тест на
проникновение
• Быстрый поиск уязвимостей для их устранения Сканирование
• Поиск уязвимостей при минимальном воздействии на работу систем
Анализ конфигурации
• Поиск максимального количества уязвимостей с контролируемыми рисками проекта
Комплексный подход
Методологии
16
Основные инструменты •NMAP •NMAP
Сканеры портов
•Nessus
•Open-VAS
•Nikto
•Nessus
•Open-VAS
•Nikto
Сканеры уязвимостей
•Cain & Abel
•Wireshark
•Cain & Abel
•Wireshark Снифферы
•THC-hydra
•LCP
•THC-hydra
•LCP Утилиты для
подбора паролей
•Metasploit Framework •Metasploit Framework Наборы эксплойтов
•Backtrack
•Сканер-ВС
•Backtrack
•Сканер-ВС LiveCD
17
18
19
Александр Дорофеев
CISSP, CISA
Директор
АНО “Учебный центр “Эшелон”
E-mail: [email protected]
Тел.: +7(495) 645-38-09
