Кібербезпека для фінансової компанії
Бізнес кейс: Тестування на проникнення інфраструктури для фінансової компанії
Міжнародна компанія інвестиційних послуг постійно працює з важливими даними клієнтів і має гарантувати їхню безпеку. Компанія керує складною ІТ-інфраструктурою, що включає локальні системи та хмарні сервіси. Враховуючи конфіденційність даних, що обробляються, і нормативні вимоги, компанія прагнула провести ретельну оцінку безпеки своєї ІТ-інфраструктури. Мета тесту на проникнення, проведеного для фінансової компанії, полягала у імітації цілеспрямованої атаки зловмисника з ціллю:
Рекомендації
Експерти ESKA оцінили всю інфраструктуру компанії за допомогою тестування на проникнення методом чорної скриньки (Black Box Penetration Test). Наші етичні хакери змогли знайти скомпрометовані облікові записи користувачів і потенційні вразливості, оскільки ці облікові записи можуть бути викрадені. Для кожної знайденої вразливості ми дали рекомендації у звіті щодо її виправлення. Ось кілька прикладів:
Процес
Етап 1. Підготовка
Визначено обсяг тесту на проникнення, зосереджуючись на мережевій інфраструктурі, серверах, базах даних, програмах і хмарних службах.Встановлені вказівки щодо процесу тестування, щоб уникнути переривання послуг клієнта та забезпечити, щоб тестування проводилося етично.
Етап 2. Фаза сканування
Розвідка: збір інформації про цільове оточення за допомогою пасивних і активних методів розвідки.Сканування вразливостей: використовуються автоматизовані інструменти для виконання початкового сканування на відомі вразливості в мережевій інфраструктурі, серверах, базах даних і програмах.Ручне тестування: проведене ручне тестування для виявлення вразливостей, які автоматизовані інструменти можуть пропустити, зокрема неправильні конфігурації, незахищені протоколи та слабкі засоби контролю доступу.Експлуатація: Спроба використати виявлені вразливості, щоб оцінити їхній вплив і зрозуміти рівень доступу, який потенційно може отримати зловмисник.Постексплуатація: проаналізовано наслідки успішної експлуатації, включаючи викрадання даних, ескалацію привілеїв і бічне переміщення в мережі.
Етап 3. Звітність
Документація висновків: задокументовано всі виявлені вразливості, включаючи детальні описи, докази використання та потенційний вплив.Оцінка ризику: Оцінка ризику, пов’язаного з кожною вразливістю, на основі її ймовірності та впливу.Рекомендації щодо усунення: надані рекомендації щодо виправлення кожної виявленої вразливості. Рекомендації включали як термінові виправлення, так і довгострокові покращення безпеки.Резюме: Підготовлено загальне резюме висновків і рекомендацій для представлення виконавчій команді клієнта.
Методики, які ми використовуємо
OWASP Testing Guide - галузевий стандарт тестування безпеки для веб-додатків і пов’язаних технологій.
ISECOM OSSTMM3 - методологія тестування безпеки високого рівня, розроблена та підтримується Інститутом безпеки та відкритих методологій. Використовується як основа для планування, координації та звітності.
NIST SP800-115 - технічна методологія перевірки ІТ-безпеки, обов’язкова для федеральних агентств США. Використовується в рамках автоматизованого сканування вразливостей, аналізу та перевірки.
PTES - інноваційна методологія тестування на проникнення, що розробляється групою провідних світових спеціалістів з тестування на проникнення, аудиту безпеки та соціальної інженерії.
Вам цікаво дізнатися більше про цей кейс чи у вас є подібні потреби безпеки?
Наша команда експертів ESKA провела комплексний тест на проникнення для фінансової компанії, перевірила інфраструктуру компанії за допомогою тестування на проникнення методом чорної скриньки (Black Box Penetration Test). Надалі компанія змогла значно підвищити рівень безпеки та забезпечити захист даних своїх клієнтів.
Моделюючи реальні сценарії атак, ми можемо допомогти страховим компаніям виявити та усунути вразливі місця в їхніх системах, забезпечивши найвищий рівень захисту даних їхніх клієнтів.
Захистіть дані своєї організації та клієнтів, заповнивши форму нижче, щоб надіслати запит на комплексну оцінку вразливостей та тест на проникнення від нашої досвідченої команди. Будьте на крок попереду кіберзагроз і зміцніть свій захист вже сьогодні.
Також, Вас можуть зацікавити такі послуги
Корисні статті на тему тесту на проникнення
Тестування на проникнення: базована тема для кібербезпеки
Основною метою пентесту є виявлення вразливостей, якими можуть скористатися зловмисники. Тестування на проникнення намагається скомпрометувати систему організації, щоб виявити слабкі місця в системі безпеки. У цій статті ми детально розповімо про те, що таке тест на проникнення, чому про нього так багато говорять і для чого він вашій компанії.
Пентест як один із ключових компонентів кібербезпеки та стандартів безпеки
Тестування на проникнення, є важливою стратегією кібербезпеки, спрямованою на імітацію кібератак на комп'ютерні системи, мережі, веб-сайти чи застосунки. Основною метою тестування на проникнення є виявлення та вирішення слабкостей, які кіберзлочинці можуть використовувати, ще до того, як відбудеться зловмисна атака.
Тестування на проникнення у фінансовій галузі
Тестування на проникнення — важлива частина комплексної програми захисту інформаційної системи для банківської та фінансової галузі. У цій статті ми поговоримо про основні кіберзагрози з якими стикаються банки та страхові, необхідність та переваги пентесту і розповімо чому важливо вибирати надійного партнера з кібербезпеки.