Технический аудит

Аудит инфраструктуры, проводимый методом "белого ящика", когда проверяющему доступны конфигурации и прочая информация об инфраструктуре, позволяет получить существенно больше информации об исследуемых объектах и выявить большее количество недостатков по сравнению с другими видами аудита (тестирования на проникновения, сканирования и прочие). Такой аудит менее чувствителен к модели нарушителя, при неверном выборе которой при других видах тестирования могут быть получены значительно различающиеся результаты (например, часть уязвимостей может быть недоступна злоумышленнику, модель которого рассматривалась, в силу размещении атакующего в определенных сегментах сети или с определенными правами доступа). Технический аудит помогает оценить:

• текущий уровень защищенности от актуальных угроз;
• выполнение и степень соответствия действующим в исследуемой организации внутренним политикам, регламентам, инструкциям и процедурам;
• наличие и корректность исполнения ряда процессов ИТ и ИБ;
• степень соответствия внешним требованиям, стандартам и лучшим практикам.

В ходе технического аудита используются методы сбора информации, оптимальные для достижения конкретных целей аудита. Как правило это такие методы как:

• сбор конфигураций проверяемых компонентов;
• интервьюирование администраторов и ответственных сотрудников;
• анализ журналов логирования компонентов;
• анализ сетевого трафика и межсетевого взаимодействия, включая правила межсетевого экранирования;
• проверка "действием" - наблюдение за результатами выполнения тех или иных действий, которые позволяют оценить проверяемый механизм в дополнение или вместо анализа конфигурации (тривиальный пример - проверка количества доступных попыток ввода паролей до блокировки, требований к сложности и прочее).
• изучение интерфейса программного обеспечения.

В целях обеспечения конфиденциальности конфигурации могут быть изучены на месте, доступ к исследуемым системам в процессе проверки может осуществляться через администраторов, чувствительная информация (пароли, ключи шифрования и т.п.) может быть скрыта (для таких случаев, по возможности, будут применяться другие способы проверки).

Проверка может включать в себя как всестороннее обследование инфраструктуры, так и анализ отдельных видов компонентов, таких как:

• операционные системы;
• системы управления базами данных;
• сетевое оборудование;
• прикладное программное обеспечение, в том числе включая инфраструктурные сервисы (например, веб, почтовые, DNS, NTP-серверы);
• мобильные устройства;
• системы виртуализации;
• средства защиты:
  ○ антивирусное ПО,
  ○ IDS/IPS,
  ○ средства идентификации и аутентификации,
  ○ межсетевые экраны,
  ○ системы сбора и корреляции событий,
  ○ средства анализа и обнаружения уязвимостей,
  ○ средства контроля конфигураций,
  ○ средства обеспечения и контроля целостности и прочее.

В ходе аудита, помимо оценки конфигураций компонентов с точки зрения безопасности, оценивается архитектура и сегментация сети, организация потоков трафика, организация управления проверяемыми компонентами с точки зрения безопасности.

При проведении экспертных оценок в рамках технического аудита IncSecurity руководствуется рекомендациями CIS, SANS, NIST, ISO и богатой коллекцией собственных наработок.

По результатам аудита, помимо исчерпывающих рекомендаций с учетом конкретных экземпляров компонентов, IncSecurity могут быть оказаны широкий спектр консалтинговых услуг по устранению недостатков и совершенствованию системы управления информационной безопасностью, предложены услуги по настройке компонентов и доработке компонентов, имеющих исходный код (для веб, серверных, настольных и мобильных приложений).

Наряду с техническим аудитом может быть также проведен аудит Системы управления информационной безопасностью, включающий в себя анализ процессов, обеспечивающих информационную безопасность организации.