Podstawowym procesem oceny bezpieczeństwa są testy penetracyjne sieci. Pozwalają one na w miarę szybką ocenę technicznego poziomu bezpieczeństwa sieci jako całości. Oprócz aspektu technicznego, odpowiednio wykonane testy penetracyjne mogą również zobrazować poprawność i skuteczność działania procesów w obrębie organizacji – np. odpowiedzieć na pytanie, czy wdrożony proces aktualizacji systemów działa i jest skuteczny.
Testy penetracyjne sieci mają na celu ocenę środowiska informatycznego pod kątem znanych, a także nieznanych („0day”) podatności, które narażają bezpieczeństwo przetwarzanych przez organizację informacji.
W ramach testów penetracyjnych sieci oceniamy m.in.:
- Bezpieczeństwo urządzeń sieciowych,
- Bezpieczeństwo protokołów trasowania,
- Podatność na znane ataki sieciowe (np. ARP spoofing, VLAN hopping, itp.)
- Bezpieczeństwo maszyn zlokalizowanych w obrębie sieci (serwery, stacje robocze),
- Bezpieczeństwo usług zlokalizowanych na każdym z dostępnych w sieci urządzeniu i maszynie,
- Istnienie nieautoryzowanych urządzeń (np. nieautoryzowanego urządzenia bezprzewodowego wpiętego do sieci),
- Bezpieczeństwo zdalnego dostępu do organizacji,
- Filtrowanie komunikacji wewnętrznej oraz zewnętrznej (np. konfiguracja firewall, IDS/IPS, WAF),
- Konfigurację komunikacji z zasobami (np. konfiguracja SSL/TLS, czy też IPsec),
- Możliwość uzyskania nieautoryzowanego dostęp do danych (np. danych finansowych, czy też tajemnicy przedsiębiorstwa),
- Podatność na ataki DoS/DDoS,
- Skuteczność mechanizmów ochronnych oraz nadzoru nad środowiskiem (np. skuteczność działu SOC – Security operations center).
W ramach testów penetracyjnych potwierdzamy możliwość uzyskania nieautoryzowanego dostępu do kluczowych zasobów sieci – np. uzyskujemy uprawnieniami administratora domenowego, czy kontrolę nad bazami danych głównych systemów w organizacji.
W przypadku zewnętrznych testów penetracyjnych naszym głównym celem jest uzyskanie nieuprawnionego dostępu do maszyn w sieci DMZ, a następnie do wnętrza organizacji.
Testy przeprowadzane są ręcznie przy wykorzystaniu automatycznych narzędzi jedynie w celu automatyzacji podstawowych prac. Nie bazujemy na automatycznych narzędziach, a każdy projekt traktujemy wyjątkowo. Każdy raport po testach przechodzi wewnętrzny proces QA („quality assurance”) – proces oceny jakości, aby potwierdzić, iż wynik naszych prac jest zgodny z naszymi standardami, a prace zostały wykonane oraz opisane w odpowiedni sposób zapewniający najwyższą jakość usług.
Nasze testy penetracyjne sieci są zgodne z wymaganiami testów dla certyfikacji PCI DSS.