Тестирование автоматизированной информационной системы на проникновение
Тест на проникновение в информационную систему из глобальной сети Интернет является эффективным способом, который позволяет оценить защищенность информационной системы и обнаружить не только отдельные уязвимости, но и проверить надежность существующих механизмов защиты в целом. Тест на проникновение максимально приближен к реальности и позволяет аудиторам смоделировать большую часть угроз информационной безопасности, воздействующих на информационную систему.
Входными данными для тестирования являются:
1. Перечень IP-адресов хостов, образующих внешний периметр информационной системы Заказчика (подсеть 168.192.200.0/28).
2. Перечень адресов корпоративной электронной почты в домене alemneftegaz.ru, представляющий собой репрезентативную выборку по сотрудникам из различных структурных подразделений. Применялась следующая методика, позволяющая наиболее полно смоделировать действия потенциального нарушителя: 1. Пассивный сбор сведений об информационной системе Заказчика из открытых источников.
2. Активный сбор сведений об информационной системе Заказчика (подключение к хостам внешнего периметра).
3. Проверка возможности проникновения в информационную систему Заказчика при помощи использования уязвимостей сетевых служб, запущенных на хостах внешнего периметра.
4. Проверка возможности проникновения в информационную систему Заказчика
при помощи реверсивной троянской программы. о ходе выполнения работ по тесту на проникновение в информационную систему Заказчика регулярно сообщалось представителям отдела информационной безопасности Заказчика. Сотрудникам отдела информационных технологий, ответственным за администрирование информационной системы, не было сообщено о факте выполнения таких работ.
Модель нарушителя
В качестве потенциального нарушителя информационной безопасности ЛВС рассматривается лицо или группа лиц, состоящих или не состоящих в сговоре, которые в результате умышленных или неумышленных действий могут реализовать разнообразные угрозы информационной безопасности, направленные на информационные ресурсы и нанести моральный и/или материальный ущерб интересам КрайИнвестБанка.
Сводная характеристика вероятного нарушителя приведена в таблице 1.
Таблица 1 – Модель нарушителя
| Классификация | Характеристика |
| По мотиву нарушения | Нарушение угрозы целостности, конфиденциальности, доступности в корыстных или иных целях |
| По уровню информированности нарушителя | Нарушитель обладает высоким уровнем знаний в области программирования и вычислительной техники, проектирования и эксплуатации автоматизированных информационных систем |
| Нарушитель обладает достаточными знаниями для сбора информации, применения известных эксплоитов и написания собственного программного обеспечения для осуществления атаки | |
| По месту действия | Без непосредственного доступа на территорию объекта (внешний нарушитель). Нарушитель действует удалённо, через Интернет. Нарушитель не является авторизованным пользователем информационной системы банка |
| С территории объекта (внутренний нарушитель). Нарушитель действует удалённо по отношению к атакуемым компонентам системы, но внутри защитного периметра. Нарушитель является авторизованным пользователем информационной системы банка |
Дата добавления: 2015-12-18; просмотров: 50; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!