Testy penetracyjne infrastruktury

Testy penetracyjne infrastruktury

Testy bezpieczeństwa infrastruktury zostaną przeprowadzone zgodnie z podejściem BlackBox, bez wcześniejszej znajomości szczegółowej topologii sieci ani konfiguracji systemów. Wszystkie hosty wchodzące w zakres testów zostaną zweryfikowane zgodnie z wytycznymi PTES (Penetration Testing Execution Standard), zapewniając zgodność z uznanym standardem branżowym.

W ramach testów zostaną przeprowadzone następujące działania:

• Skanowanie portów TCP oraz UDP – identyfikacja otwartych portów i aktywnych usług na wskazanych hostach,
• Enumeracja usług sieciowych – szczegółowa analiza usług pod kątem ich wersji, konfiguracji oraz znanych podatności,
• Zbieranie informacji o systemie operacyjnym i jego wersji – fingerprinting systemów w celu określenia potencjalnego wektora ataku,
• Próby ataków typu brute-force na mechanizmy uwierzytelniania (np. SSH, FTP, SMB, RDP),
• Analiza konfiguracji protokołów komunikacyjnych – weryfikacja bezpieczeństwa usług takich jak SSL/TLS, SMB, RDP, SNMP, itp.,
• Eksploatacja wykrytych podatności – próba potwierdzenia realnej podatności w kontrolowanym środowisku,
• Identyfikacja i ocena poziomu ryzyka wykrytych podatności – na podstawie klasyfikacji CVSS i CWE,
• Raportowanie – przygotowanie raportu końcowego zawierającego szczegółowe informacje, dowody, ocenę ryzyka oraz zalecenia naprawcze.

Testy będą realizowane w sposób manualny i automatyczny równolegle, co pozwoli na pogłębioną analizę oraz wysokie pokrycie testowe. Manualna weryfikacja umożliwi ocenę kontekstu biznesowego, stopnia narażenia i prawdopodobieństwa wykorzystania danej podatności.

Narzędzia wykorzystywane podczas testów

W trakcie testów infrastruktury zostaną wykorzystane profesjonalne narzędzia do testów penetracyjnych, w tym:

• nmap, amap – do skanowania portów oraz identyfikacji usług,
• Metasploit Framework – do eksploitacji znanych podatności oraz testów potwierdzających,
• sh, sslscan – do analizy bezpieczeństwa implementacji SSL/TLS,
• enum4linux – do enumeracji zasobów systemów Windows i SMB,
• Inne skrypty i narzędzia obecne w systemie Kali Linux

Raportowanie

Po zakończeniu testów dostarczony zostanie szczegółowy raport zawierający:

• Zidentyfikowane podatności, sklasyfikowane według poziomu istotności (Krytyczne, Wysokie, Średnie, Niskie oraz Informacyjne), co umożliwia szybkie zrozumienie priorytetów oraz zakresu ryzyk dla organizacji.
• Szczegóły każdej podatności, obejmujące:
  • techniczny i biznesowy opis problemu,
  • przypisany poziom ryzyka zgodny z uznanymi standardami (np. CVSS),
  • możliwe skutki wykorzystania podatności przez osoby niepowołane,
  • kroki umożliwiające odtworzenie podatności – zrzuty ekranu, komendy, payloady, logi itp.,
  • przypisany identyfikator CWE, ułatwiający klasyfikację problemu w międzynarodowych rejestrach,
  • oraz odnośniki do źródeł zewnętrznych (np. OWASP, MITRE, CVE), które pozwalają na dalsze zgłębianie tematu lub weryfikację podatności.
• Zalecenia dotyczące skutecznej mitygacji ryzyk, dopasowane do kontekstu organizacji i środowiska testowego – w tym wskazówki dotyczące konfiguracji, aktualizacji komponentów, zmian w logice aplikacji, ograniczeń dostępu czy wdrożenia mechanizmów detekcji i monitorowania.]

Uwagi końcowe

VIPentest Sp. z o.o. zastrzega sobie prawo do modyfikacji planu testów w zależności od bieżących potrzeb i ustaleń z klientem.