Penetration teszttel és sérülékenységi vizsgálattal bővül a szolgáltatások listája az ALEF-nél

A sérülékenységi vizsgálatok és a penetration tesztek fontos eszközök az információbiztonság kezelése szempontjából minden modern szervezet számára. A tesztelési követelmények azonban nagymértékben eltérhetnek a különböző szervezetek esetében a szabályozási környezettől és az informatikai infrastruktúra sajátosságaitól függően. Szakértő kollégáink ezért mindig úgy tervezik és hajtják végre a biztonsági teszteket, hogy az ügyfél minden igényét szem előtt tartsák.


Sérülékenységi vizsgálat

A sérülékenység vizsgálat a célrendszerek konfigurációjáról és patch szintjéről szóló információk automatikus gyűjtésén alapul. Ezeket az információkat később az aktuális sérülékenységekkel és az ismert biztonsági problémákkal összefüggésben elemzik. Így bár minden ismert, a célrendszereket érintő sérülékenységet azonosítanak, de ezek kihasználására nem kerül sor. Ez a fő különbség a sérülékenység vizsgálat és a penetration teszt között.

Penetration tesztek

A penetration tesztek lehetővé teszik a szervezetek számára a célrendszereket érintő biztonsági problémák azonosítását. A penetration teszt azonban itt nem áll meg: a sérülékenységek azonosítását azok célzott kihasználására irányuló próbálkozások követik. A sikeres próbálkozás lehetőséget biztosít a tesztet végző szakemberek számára, hogy elemezzék a sérülékenységek tényleges hatását a célrendszerekre, és részletes ajánlásokat fogalmazzanak meg azok megszüntetésére. A vizsgált szervezet így képes számszerűsíteni az egyes biztonsági résekkel kapcsolatos kockázatokat, és dönteni a további szükséges lépésekről.

A penetration teszt előnyei

  • Információszerzés a szervezeten belüli rendszereket fenyegető sebezhetőségekről.
  • Az informatikai eszközök és más rendszerek különböző támadásokkal szembeni ellenállási képességének kiértékelése.
  • Ellenőrzi, hogy az ismert sebezhetőségeket sikeresen kezelték-e.
  • Annak ellenőrzése, hogy a szervezet képes-e sikeresen észlelni a rendszereivel szembeni kibertámadásokat.

A penetration tesztek széles választékát kínáljuk

Ügyfeleink igényeihez igazodva különféle penetration teszteket ajánlunk. Ezeket a következő módokon csoportosíthatjuk.

A tesztelt rendszer szerint:

  • Webalkalmazás tesztelése
  • Informatikai infrastruktúra / hálózat tesztelése
  • Fizikai biztonsági tesztek
  • Social engineering
  • Felhő környezeti tesztelés
  • Más típusú rendszerek (mobilalkalmazások, IoT, Wi-Fi hálózatok, VoIP infrastruktúrák)

A tesztelő csoport számára a megbízás előtt átadott információk szintje szerint:

  • Black Box / Dark Box - a tesztelő csapatnak csak nagyon korlátozott információi vannak a célkörnyezetről, és ugyanazokat a lépéseket kell elvégeznie, amelyeket egy igazi támadónak kellene. Ez egy külső szereplő által elkövetett támadás (a teszt keretein belül) valóságos szimulációja.
  • Grey Box - a tesztelő csapatnak valamilyen szintű korábbi ismerete van a tesztelt rendszerről, amely lehetővé teszi, hogy lényegesen gyorsabban hajtsa végre a szimulált támadást, mintha a teszteket Black Box módban végeznék.
  • White Box / Glass Box / Clear Box - a tesztelő csapat egy átfogó tájékoztatást kap a célrendszerről a beavatkozás előtt. Ez a tesztelők számára sokkal mélyebb megértést biztosít a rendszer belső működéséről és több sérülékenység azonosításához vezethet. Ez a könnyebbség ugyanakkor többletfeladatot is eredményez, mert a kapott információk további elemzése több időt vesz igénybe.

A biztonsági teszt elengedhetetlen

A támadások gyakorisága és hatása folyamatosan növekszik. Minden modern szervezet csábító célpontja lehet a - nem csak - pénzügyileg motivált hacker-ek számára. A biztonsági tesztek lehetővé teszik a szervezetek számára, hogy felmérjék védelmi rendszereik hatékonyságát az aktuális támadási típusokkal szemben. Emellett rendszeres tájékoztatást adhatnak a szervezetet érintő új sebezhetőségekről és gyengepontokról, amelyeket a támadók potenciálisan kihasználhatnak. Az időközönkénti biztonsági tesztek lehetővé teszik a szervezetek számára, hogy megfeleljenek a szabályozási és egyéb megfelelőségi követelményeknek, például a Hálózat- és Információbiztonsági (NIS) irányelvnek, az ISO / IEC 27k vagy a PCI-DSS szabványoknak. Napjaink kiberfenyegetettségeinek tükrében a biztonsági tesztek elvégzése nem lehet választás kérdése egy szervezet számára, sokkal inkább szükségszerűség.

Szeretnél többet tudni?

Keresd az ALEF szakképzett mérnök csapatát és tedd meg az első lépéseket alkalmazásaid biztonsága érdekében.
Vedd fel velünk a kapcsolatot az alábbi elérhetőségen:

Stefan Rakic
F5 Systems Engineer, Security
+36-30/153-2450
stefan.rakic@alef.com