Сканер уязвимостей

Анализ уязвимостей информационной системы с использованием автоматизированных сканеров и крупнейших баз данных CVE.

Сканирование уязвимостей информационной системы

Сервис сканирования информационных систем на наличие уязвимых компонентов и ошибок в конфигурациях системного и прикладного ПО.

Выполняем сканирование информационного ресурса (сервера, СУБД, рабочие места пользователей) с использованием сканера уязвимостей RedCheck, баз уязвимостей OVALdb и БДУ ФСТЭК России, а также с применением соответствующих профилей настройки безопасности клиентского информационного ресурса.

Сценарии применения:

  • Сканирование информационных систем на наличие уязвимостей
  • Анализ конфигурации системы, в том числе и на соответствие стандартов информационной безопасности
Название услуги
Сканер уязвимостей
Стоимость услуги
По запросу

Сканирование на наличие уязвимостей


Анализ информационной системы на наличие неустановленных критических обновлений безопасности, слабой парольной политики и ошибок в конфигурации ПО; контроль наличия уязвимого или неподдерживаемого программного обеспечения и нарушений выбранных политик безопасности.

Проводим следующие виды аудита


  • Аудит уязвимости
  • Аудит в режиме "пентест"
  • Аудит конфигурации сетевого оборудования
  • Аудит конфигурации среды виртуализации
  • Аудит СУБД, серверов приложений
  • Аудит безопасности АСУ ТП

Поиск уязвимостей обуществляется с использованием базы сигнатур открытого репозитория OVALdb. База сигнатур ежедневно обновляется и синхронизируется с базой NVD (National Vulnerability Database).

Анализ уязвимостей информационной системы осуществляется с использованием автоматизированных сканеров и крупнейших баз данных CVE.


Аудит в режиме "пентест"


Аудит в режиме пентеста осуществляется в режиме черного ящика с мин знаниями об ИС и отсутствием привилегий пользователя. В процессе определяются параметры сканируемого сервера, ОП, порты, протоколы, наличие сервисов. По различным признакам определяются версии установленного ПО и уязвимости для сканированного хоста с использованием базы OVALdb.


Аудит конфигурации среды виртуализации


Выполняем комплексную оценку безопасности платформ виртуализации включая:

  • аудит конфигурации серверов виртуализации и управления
  • определение уязвимости и неустановленных критических обновлений
  • контроль соответствия настроек рекомендациям вендора и Security Hardening

Аудит серверов приложений


В современных ИС сервера прилоэжений имеют огромное количество параметров и настроек от которых зависит безопаснотсь приложений. Для эффективного контроля безопасной конфигурации сервера предлагаем использовать профили конфигурации безопасности серверов приложений таких как Apache, NGINX, Microsoft IIS, Microsoft .NET Framework.

Это позволит снизить требования к количеству персонала и квалификации системного администратора и снизит влияние человеческого фактора на защищенность ИС.

Доступны следующие профили конфигурации серверов приложений:

  • Веб-сервер Apache, nginx
  • Сервер приложений Apache Tomcat
  • Веб сервер IIS и .NET
  • Сервисы Linux
  • PHP
  • Remote Acces Checklist

Аудит СУБД


Практически в любой инфоормационной системе СУБД содержит наиболее чувствительную информацию, поэтому важен своевременный контроль безопасности настроек, наличия уязвимостей, критических обновлений.

В рамках сервиса аудита уязвимости СУБД мы существляем сканирование с использованием профилей конфигурации в формате SCAP и на соотвествие рекомендациям вендоров.



Этапы предоставления услуги:


1
Согласование объема сканирования, способов доступа в систему и используемых методик
2
Выполнение сканирования, поиск и анализ уязвимостей
3
Выдача протокола сканирования уязвимостей с подробным описанием по каждой уязвимости, рекомендациями на устранение.


Контроль конфигураций и оценка соответствия политикам безопасности


Сканирование ИС на соответствие требованиям стандартов безопасности, составление профиля настроек и контроль соответствия конфигурации серверов выбранному профилю безопасности. Данные работы могут быть использованы при аттестации объектов информатизации.


В перечень конфигураций для сканирования включены более 1000 программ включая ПО MS Windows, Linux, СУБД MS SQL, Oracle Database, MySQL, PostgreSQL; средства виртуализации HyperV, VMware, Xen, сервера приложений u Web-сервера. Конфигурации безопасности включенные в базовую версию скана.


  • Контроль конфигураций осуществляектся на соотвествие рекомендаций вендоров и "лучших практик".
  • Возможность составление индивидуальных профилей и настроек для клиента
  • Загрузка профилей и настроек в формате SCAP
  • По итогам выдается протокол по соответствию политике и рекомендации по настройке и устранению и соответствию несоответствий.

Репозиторий OVALdb


При сканировании используется один из крупнейших репозиториев контента безопасности – OVALdb, содержащий параметры конфигурации, обновления безопасности и критерии критичности и определения уязвимости с описанием и рекомендациями по устранению. Также используются базы данных уязвимостей CVE и базы уязвимостей БДУ ФСТЭК России.

Описание контента репозитирия основано на языках входящих в SCAP, а для описания уязвимостей используется язык OVAL (Open Vulnerability and Assessment Language). Содержимое репозитория синхронизируется с международными банками контента безопасности такими как CIS, MITRE, NIST и другими. OVALdb обладает статусами "OVAL Adopter", "CVE Compatible" и "joval Compatible".


Основные преимущества

Автоматическое индексирование и обнаружение ссылок
Сложный механизм сканирования включает в себя целый ряд методов для сканирование Web-приложений. Данный механизм позволяет проиндексировать до 5000 ссылок в каждом ресурсе.
Идентификация уязвимостей Web-приложений.
Сканирование Web-приложений позволяет определить уровень безопасности, идентифицировать найденные уязвимости, "чувствительное содержание" и проанализировать собранные данные. Первоначально данный механизм ищет слабые места, такие как XSS, SQL-инъекции, источник раскрытия информации и обхода каталога.
Анализ угроз Web-приложений с помощью построения отчетов.
Механизм отчетов в WEBGuard WAS позволяет построить различные виды отчетов с найденными уязвимостями и методами их устранения с сортировкой по группам или по Web-приложениям. Имеются отчеты типа ScoreCard и Interactive.
Сканирование с аутентификацией.
Наличие имени пользователя и пароля позволяет автоматически проиндексировать HTML формы с аутентификацией. Множественные методы сканирования с аутентификацией поддерживаются для каждого сканирования, такие как Form, HTTP Basic, NTLM и Digest.
Черный/Белый список
Определяя данные списки можно контролировать, что только определенная часть Web-приложения будет просканирована. Черный список предотвращает сканер от посещения определенных ссылок, в то время как Белый список обязывает сканер посетить те ссылки, которые четко определены в этом списке.
Поиск "чувствительного содержания"
Данная возможность позволяет находить в HTML формах содержание типа номеров социального страхования, номер кредитных карт, а также строк определенных пользователем.

Отзывы

Арт Текникс

Мы перенесли на серверы провайдера нашу 1С, все данные пользователей, настройки, пароли, электронные подписи. Каждый сотрудник получил удалённый рабочий стол и возможность работать из любой точки мира.

Отдельно благодарим компанию Cloud4Y за предложенное резервное копирование данных в два ЦОД. Теперь мы спокойны за данные о клиентах и поставщиках, объём номенклатуры и информацию о реализованных проектах.

Е. В. Носков Генеральный директор
ДомКлик (Сбербанк)
За время нашего сотрудничества у нас не возникло ни одной претензии к технической реализации и качеству услуг. В Cloud4Y мы видим партнера, к которому можно обратиться за технической консультацией в решении ПТ задач бизнеса.
Дополнительно хочется отметить комфортную схему расчетов, оперативную пред и постпродажную поддержку, выгодные опциональные услуги и своевременную реакцию на запросы в техподдержку.
Редер А. Б. Исполнительный директор
Дисциплина

Наша компания обратилась к фирме «Флекс» около 3 лет назад в поисках платформы для безопасного, надёжного и производительного использования ИТ-услуг и приложений. Используя облачные технологии, мы смогли предложить нашим клиентам абсолютно новые услуги и тарифы для наших программных продуктов.

Б. Р. Салимзянов Генеральный директор
Breffi

Мы очень рады нашему сотрудничеству и надеемся, что оно будет таким плодотворным и далее.

Всем рекомендуем ООО «Флекс» как качественного и надёжного партнёра.

О.Д. Маликова Генеральный директор
АКБ Систем
Использование облачных технологий позволяет нам выстраить ИТ-инфраструктуру в точном соотвествии с потребностями проекта и в кратчайшие сроки. Специалисты компании оперативно и грамотно помогают решить текущие вопросы в процессе эксплуатации выделенного сервера. У нас остались только самые позитивные впечатления. Работа специалистов и менеджеров на высоте!
Бочаров Е.К. Генеральный директор ООО "АКБ Систем"
Платёжный Центр

За время сотрудничества с компанией мы не испытывали проблем ни с производительностью, ни с отказами в работе сервисов. Выделенные ресурсы всегда соответствуют заявленным в договоре, что является большим преимуществом!

Более того, все обращения в техподдержку рассматривались очень оперативно. Специалисты оставались на связи до полного разрешения вопроса.

Компания «Платёжный Центр» выражает  благодарность и надеется на дальнейшее плодотворное сотрудничество.

П. А. Плохута IT-директор
Федеральное агентство по делам молодёжи (Росмолодёжь)

Федеральное агентство по делам молодёжи (Росмолодёжь) — федеральный орган исполнительной власти в России, осуществляющий функции по оказанию государственных услуг и управлению государственным имуществом в сфере государственной молодёжной политики, реализации мероприятий, направленных на обеспечение здорового образа жизни молодёжи, нравственного и патриотического воспитания и на содействие реализации молодёжью своих профессиональных возможностей.

Благодарим ООО "Флекс" (Cloud4Y) за многолетнее сотрудничество в области информационных технологий и высокий профессионализм.

К. Д. Разуваева Руководитель ФАДМ
МБИ Евразия

Пользуемся в компании арендой виртуального сервера. Понравился гибкий подход, доступная стоимость и стабильность сервера!

ЗАО МБИ Евразия
Роснефть-Лояльность
Услуги по предоставлению отказоустойчивой облачной инфраструктуры для CRM системы и аналитического ПО оказываются качественно и в соответствии с действующим договором.
Савицкая Н. А. Генеральный директор ООО "РН-ЛОЯЛЬНОСТЬ"
Киноискатель

Хочется выразить благодарность компании Cloud4Y за помощь в развертывании инфраструктуры проекта. Пока что все потребности удается реализовывать. Также нужно отметить службу поддержки, всегда на связи и оперативно помогает в решении вопросов, даже когда проблема была на нашей стороне. Надеюсь, сотрудничество будет столь же плодотворным и дальше.

Владимир Зайцев Руководитель по информационным технологиям
Остались вопросы?
Оставьте заявку и наши сотрудники свяжутся с вами.
А также мы предоставим вам 30 дней бесплатного доступа
Вверх!