Анализ уязвимостей
Анализ и проверка устойчивости системы к атакам
Сервис сканирования информационных систем на наличие уязвимых компонентов и ошибок в конфигурациях системного и прикладного ПО. Комплексный анализ уязвимостей информационной системы помогает заранее закрыть лазейки, которыми может воспользоваться злоумышленник.
Выполняем сканирование информационного ресурса (сервера, СУБД, рабочие места пользователей) с использованием сканера уязвимостей RedCheck, баз уязвимостей OVALdb и БДУ ФСТЭК России, а также с применением соответствующих профилей настройки безопасности клиентского информационного ресурса.
Сценарии применения:
- Сканирование информационных систем на наличие уязвимостей
- Анализ конфигурации системы, в том числе и на соответствие стандартов информационной безопасности
- Проверка устойчивости к реальным атакам в режиме тестирования на проникновение
Сканирование уязвимостей информационной системы
Сканирование уязвимостей — это анализ информационной системы на наличие неустановленных критических обновлений безопасности, слабой парольной политики и ошибок в конфигурации ПО. Контроль наличия уязвимого или неподдерживаемого программного обеспечения и нарушений выбранных политик безопасности. Если хотите разобраться в теме глубже, в блоге мы объясняем, что такое уязвимость в информационной безопасности и откуда она берётся.
Проводим следующие виды аудита
- Аудит уязвимости
- Аудит в режиме «пентест»
- Аудит конфигурации сетевого оборудования
- Аудит конфигурации среды виртуализации
- Аудит СУБД, серверов приложений
- Аудит безопасности АСУ ТП
Поиск уязвимостей осуществляется с использованием базы сигнатур открытого репозитория OVALdb. База сигнатур ежедневно обновляется и синхронизируется с базой NVD (National Vulnerability Database). При этом разворачивать и обслуживать отдельную программу для поиска уязвимостей на своей стороне не нужно: сканер, мощности под него и поддержание баз в актуальном состоянии остаются на нашей стороне — вы получаете готовый протокол с находками и рекомендациями по устранению.
Анализ уязвимостей информационной системы осуществляется с использованием автоматизированных сканеров и крупнейших баз данных CVE.
Аудит в режиме «пентест»
Аудит в режиме пентеста осуществляется в режиме чёрного ящика с минимальными знаниями об ИС и отсутствием привилегий пользователя. В процессе определяются параметры сканируемого сервера, ОП, порты, протоколы, наличие сервисов. По различным признакам определяются версии установленного ПО и уязвимости для сканированного хоста с использованием базы OVALdb. Этот режим имитирует базовые действия атакующего; для углублённой ручной проверки мы предлагаем тестирование на проникновение.
Аудит конфигурации среды виртуализации
Выполняем комплексную оценку безопасности платформ виртуализации, включая:
- аудит конфигурации серверов виртуализации и управления
- определение уязвимости и неустановленных критических обновлений
- контроль соответствия настроек рекомендациям вендора и Security Hardening
Аудит серверов приложений
В современных ИС сервера приложений имеют огромное количество параметров и настроек, от которых зависит безопасность приложений. Для эффективного контроля безопасной конфигурации сервера предлагаем использовать профили конфигурации безопасности серверов приложений таких как Apache, Nginx, Microsoft IIS, Microsoft .NET Framework.
Это позволит снизить требования к количеству персонала и квалификации системного администратора и снизит влияние человеческого фактора на защищённость ИС.
Доступны следующие профили конфигурации серверов приложений:
- Веб-сервер Apache, nginx
- Сервер приложений Apache Tomcat
- Веб сервер IIS и .NET
- Сервисы Linux
- PHP
- Remote Acces Checklist
Аудит СУБД
Практически в любой информационной системе СУБД содержит наиболее чувствительную информацию, поэтому важен своевременный контроль безопасности настроек, закрытия уязвимостей, установки критических обновлений.
В рамках сервиса аудита уязвимости СУБД мы осуществляем сканирование с использованием профилей конфигурации в формате SCAP и на соответствие рекомендациям вендоров.
Этапы предоставления услуги:
Контроль конфигураций и оценка соответствия политикам безопасности
Сканирование ИС на соответствие требованиям стандартов безопасности, составление профиля настроек и контроль соответствия конфигурации серверов выбранному профилю безопасности. Данные работы могут быть использованы при аттестации объектов информатизации.
В перечень конфигураций для сканирования включены более 1000 программ, включая ПО MS Windows, Linux, СУБД MS SQL, Oracle Database, MySQL, PostgreSQL; средства виртуализации HyperV, VMware, Xen, сервера приложений u Web-сервера. Конфигурации безопасности, включенные в базовую версию сканера.Контроль конфигураций осуществляется на соответствие рекомендаций вендоров и лучших практик. Возможность составление индивидуальных профилей и настроек для клиента
- Загрузка профилей и настроек в формате SCAP
- По итогам выдается протокол по соответствию политике и рекомендации по настройке и устранению и соответствию несоответствий.
Репозиторий OVALdb
При сканировании используется один из крупнейших репозиториев контента безопасности – OVALdb, содержащий параметры конфигурации, обновления безопасности, критерии критичности и определения уязвимости с описанием и рекомендациями по устранению. Также используются базы данных уязвимостей CVE и базы уязвимостей БДУ ФСТЭК России.
Описание контента репозитория основано на языках, входящих в SCAP, а для описания уязвимостей используется язык OVAL (Open Vulnerability and Assessment Language). Содержимое репозитория синхронизируется с международными банками контента безопасности, такими как CIS, MITRE, NIST и другими. OVALdb обладает статусами "OVAL Adopter", "CVE Compatible" и "joval Compatible".
Типы сканирования
Анализ уязвимости информационной системы. Комплексная проверка всей инфраструктуры — веб-приложений, сетевых сервисов и конфигураций серверов. Автоматизированные сканеры сверяют ваши узлы с крупнейшими базами данных CVE, выявляют известные уязвимости и ошибки настройки, а вы получаете приоритизированный отчёт с рекомендациями по устранению. Сканирование уязвимостей проводится в нескольких форматах — в зависимости от того, что именно проверяется.
Аудит безопасности сети. Проверяем сетевой периметр и внутренние сегменты: открытые порты, небезопасные протоколы, правила межсетевого экранирования. Аудит безопасности сети показывает, какие сервисы видны извне и где злоумышленник сможет закрепиться при компрометации одного из хостов.
Сканер уязвимостей сайта. Автоматическая проверка веб-ресурса снаружи, со стороны интернета. Сканер уязвимостей сайта обходит страницы и формы, определяет версии серверного ПО и сверяет их с базами CVE, выявляя XSS, SQL-инъекции, раскрытие чувствительного содержимого и ошибки конфигурации веб-сервера. Поддерживается режим с аутентификацией — чтобы проверить и закрытые разделы, доступные только после входа.
Пентест сайта. Там, где автоматического сканирования недостаточно, подключается ручная имитация атаки. Пентест сайта проверяет формы, авторизацию, API и бизнес-логику на устойчивость к SQL-инъекциям, XSS и обходу аутентификации. Подробнее об услуге — на странице тестирования на проникновение.
Сканирование на соответствие ФСТЭК. Оценка инфраструктуры на соответствие требованиям регулятора. Сканирование на соответствие ФСТЭК фиксирует расхождения с действующими методиками и приказами — это особенно важно для государственных информационных систем и операторов персональных данных.
Проверка серверов на уязвимости. Отдельный контур для серверного парка: ОС, службы, СУБД и middleware. Проверка серверов на уязвимости контролирует версии ПО, наличие критических обновлений и корректность прав доступа.
Что проверяем
Сервис закрывает основные направления, по которым чаще всего происходят инциденты:
- Информационные системы целиком — анализ уязвимости информационной системы охватывает связку «приложение + сеть + конфигурация», а не отдельные компоненты в отрыве друг от друга.
- Сетевую инфраструктуру — аудит безопасности сети выявляет лишние открытые сервисы, устаревшие протоколы и ошибки сегментации.
- Веб-приложения — сканер уязвимостей сайта проверяет ресурс автоматически, а пентест сайта показывает, как он поведёт себя под реальной нагрузкой со стороны атакующего.
- Соответствие требованиям — сканирование на соответствие ФСТЭК помогает подготовиться к проверкам и аттестации.
- Серверы и хосты — проверка серверов на уязвимости держит под контролем актуальность патчей и настройки доступа.
По итогам каждой проверки вы получаете отчёт с перечнем находок, оценкой критичности по CVE и конкретными шагами по устранению. Тот же подход мы применяем к собственной инфраструктуре: рассказываем, как выстраиваем безопасность облака, и приглашаем исследователей искать уязвимости на наших ресурсах в рамках программы Bug Bounty.
Основные преимущества
Отзывы
В Cloud4Y и команде мы видим надежного партнера. Компания развивается, чтобы предвидеть и удовлетворить растущие потребности рынка в эпоху, когда автоматизация и технологизация бизнеса приравниваются к одной из главных составляющих успеха.
Пользуемся в компании арендой виртуального сервера. Понравился гибкий подход, доступная стоимость и стабильность сервера!
Для обеспечения функционирования и развития настоящей системы ФАДН России необходимо было решить 2 задачи: обеспечение отказоустойчивой аттестованной в соответствии с ФЗ-152 инфраструктурой, а также аттестация нашей части инфраструктуры в соответствии с законодательством «О персональных данных» 152-ФЗ по наивысшему уровню защиты информации. Агентство также интересовала финансовая сторона вопроса, при сохранности высокого уровня услуг и технической поддержки.
Все вышеперечисленные задачи удалось решить в полном объёме с облачным оператором Cloud4Y.
Федеральное агентство по делам молодёжи (Росмолодёжь) — федеральный орган исполнительной власти в России, осуществляющий функции по оказанию государственных услуг и управлению государственным имуществом в сфере государственной молодёжной политики, реализации мероприятий, направленных на обеспечение здорового образа жизни молодёжи, нравственного и патриотического воспитания и на содействие реализации молодёжью своих профессиональных возможностей.
Благодарим ООО "Флекс" (Cloud4Y) за многолетнее сотрудничество в области информационных технологий и высокий профессионализм.
Компания ООО «ДорогаПро» благодарит Cloud4Y за организацию виртуального хостинга веб-сервисов компании.
С компанией Cloud4Y нас связывают годы плодотворного сотрудничества. Не припомню случая, когда компания или менеджеры повели себя непрофессионально. Высокий уровень выполнения работ, оперативная реакция технической поддержки, большой выбор сервисов, гибкий подход и доступные цены.
Благодаря облачному решению «Корпоративная почта» мы повысили качество внутренних коммуникаций. Почта теперь быстро синхронизируется с мобильными устройствами, благодаря чему информация больше не теряется. А на случай чрезвычайных ситуаций предусмотрена функция восстановления данных из резервных копий, хранящихся сразу в двух ЦОД.
Выражаем искреннюю благодарность нашему партнёру ООО «Флекс» за предоставленные вычислительные мощности, за высокий уровень услуг, профессионализм и просто человеческое отношение. Ваша команда оперативно отвечает на любые вопросы и решает поставленные задачи самым доброжелательным образом, ответственно относится к исполнению своих обязанностей и всегда идёт навстречу. Мы рады найти такого надёжного и добросовестного партнёра в России и надеемся на продолжение успешного сотрудничества. Большое вам спасибо!
FAQ
- Базы уязвимостей регулярно обновляются и включают в себя последние изменения в том числе в БДУ ФСТЭК
- Экспертиза: Мы не кидаем вам 1000 строчек лога, а даем четкий вердикт и план действий.
- Юридическая сила: Наши протоколы готовы для сдачи отчетности по 152-ФЗ.
- Сеть: Роутеры, файрволы, коммутаторы.
- Хосты и ОС: Windows Server, Linux (CentOS, Debian, Ubuntu, Astra Linux и др.), проверка на отсутствие критических заплаток.
- СУБД и приложения: MS SQL, Oracle, MySQL, PostgreSQL, серверы 1С.
- Веб-приложения: Проверка на SQLi, XSS, CSRF.
