Testy bezpieczeństwa infrastruktury

Nasza metodyka audytu infrastruktury IT została opracowana na podstawie wieloletniego doświadczenia w obszarze realizacji audytów bezpieczeństwa. Badanie bezpieczeństwa może odbywać się zgodnie z podejściem „white box” („glass box”), które zakłada analizę konfiguracji badanych systemów, lub też podejście „black box”, które zakłada minimalną wiedzę o badanym systemie i badanie bezpieczeństwa systemów i urządzeń z poziomu dostępu sieciowego. W podejściu „white box” możliwa jest bardziej szczegółowa i jednocześnie rozleglejsza analiza poziomu bezpieczeństwa systemów, w szczególności możliwe staje się badanie podatności niedostępnych z poziomu sieciowego (np. nieprawidłowe prawa dostępu do plików systemu operacyjnego) lub też takich, których badanie metodą „black box” jest nieefektywne (np. polityka haseł). Audyt typu „white box” jest praktycznie pozbawiony niepewności wyników ponieważ wiedza na temat konfiguracji i zainstalowanego oprogramowania pochodzi bezpośrednio z badanych systemów, a nie z wyników testów zdalnych. Dodatkowo testy tego typu cechuje minimalne ryzyko związane z uszkodzeniem danych lub systemów. Elementem testów „white box” są również techniki stosowane w testach „black box”, które mają za zadanie potwierdzenie wyników analizy konfiguracji z rzeczywistym zachowaniem systemów.

Mając na uwadze powyższe, testy infrastruktury IT pozwolą na zbadanie takich podatności jak:
• Nieaktualne wersje systemów operacyjnych i aplikacji sieciowych (serwery: WWW, aplikacyjne, baz danych, pocztowe SMTP/POP3/IMAP, NNTP, DNS, NTP, Telnet, SSH i inne)
• Obecność niepotrzebnych (z punktu widzenia najlepszych praktyk bezpieczeństwa) usług sieciowych
• Nieprawidłowa konfiguracja usług sieciowych pozwalająca na:
   - Nieautoryzowane użycie badanych systemów przez atakujących
   - Ujawnienie wrażliwych danych Klienta
   - Nieautoryzowaną modyfikację danych Klienta
• Użycie domyślnych lub słabych haseł
• Znane podatności publikowane przez producentów oprogramowania/sprzętu oraz przez niezależnych badaczy
W trakcie naszych testów korzystamy zarówno z narzędzi automatycznych (analizatory konfiguracji, skanery podatności) jak i z testów manualnych wykonywanych przy pomocy dedykowanych dla danego środowiska skryptów lub poprzez analizę konfiguracji przez audytora. Nasza oferta dotyczy szerokiego spektrum platform technologicznych zarówno jeżeli chodzi o systemy operacyjne, bazy danych, serwery aplikacyjne, jak i urządzenia sieciowe i dedykowane rozwiązania bezpieczeństwa (zapory sieciowe, systemy AV).