Документ посвящен использованию системы MaxPatrol для консалтинга и тестирования на проникновение (пентестов) в области информационной безопасности. Рассматриваются различные модули, включая анализ уязвимостей веб-приложений и соответствие стандартам, а также примеры применения и методологии тестирования. Также упоминается процесс оценки состояния защиты и управления уровнем безопасности систем.

1. Ломаем (и строим) вместе! Дмитрий Евтеев ( Positive Technologies)

2. О чем пойдет речь MaxPatrol для консалтинга Примеры использования MaxPatrol в консалтинговых проектах. MaxPatrol для пентестов Тесты на проникновение, PCI ASV, анализ Web-приложений, аудиты ИБ, анализ ERP-систем. Настройки профиля сканирования, анализ результатов, подготовка отчетов.

3. MaxPatrol internals Тестирование на проникновение ( модуль PenTest) это комплекс мероприятий, направленных на оценку текущего состояния процессов обеспечения ИБ тестирование на преодоление защиты это один из методов проведения аудита ИБ Оценка уровня защищенности ( модуль Аудит ) это комплекс мероприятий, направленных на оценку текущего состояния процессов обеспечения ИБ методикой «белого-ящика» анализ защищенности ( технологический , организационный и т.д.) Управление уровнем защищенности ( модуль Compliance) это комплекс мероприятий, направленных на оценку уровня соответствия требованиям к обеспечению информационной безопасности ( внутренняя политика ИБ , PCI DSS, с тандарты серии ISO 2700 x, Center of Internet Security (CIS) guides и тд. )

4. Модуль PenTest: сканер портов

5. Модуль PenTest: сканер уязвимостей

6. Примеры пентестов : обнаружение уязвимостей

7. Модуль PenTest: анализ веб-приложений Анализ защищенности веб-приложений ( fuzzing)

8. Примеры пентестов : ч то такое анализ веб-приложения методикой «черного ящика» Web- сервер Рабочее место аудитора Проверка 1 Уязвимость 1: подбор пароля Impact: доступ к приложению (с ограниченными привилегиями) Уязвимость 2: внедрение операторов SQL Impact: только чтение файлов (включена опция magic quotes) Уязвимость 3: выход за каталог Impact: выполнение команд на сервере ( LFI over /proc ) Проверка N Найдена уязвимость

9. Модуль PenTest: настройка профиля сканирования веб-приложений

10. Модуль PenTest: тестирование новых приложений

11. Модуль PenTest: подбор паролей Общепринятые admin:123456 Administrator:P@ssw0rd … SAP (DIAG) SAP*: 06071992, PASS манданты: 000, 001, 066, все новые (RFC) SAPCPIC: ADMIN манданты:000, 001, 066, все новые … Oracle sys:manager sys:change_on_install … Cisco Cisco:Cisco … …

12. Примеры пентестов : Привет Павлик :)

13. Выявление уязвимых конфигураций : ... aaa authentication login default local-case aaa authentication login authen none ... line vty 0 3 exec-timeout 0 0 line vty 4 exec-timeout 0 0 privilege level 15 login authentication authen ... Модуль Compliance

14. Модуль Compliance: переопределение контролей

15. Модуль Аудит

16. Модуль Аудит : пример использования

17. Модуль Аудит : пример использования

18. Модуль Аудит : пример использования

19. Модуль Аудит : пример использования

20. Модуль Аудит : анализ СУБД

21. Модуль Аудит : анализ ERP- систем

22. Модуль Compliance: анализ ERP- систем

23. Примеры пентестов : анализ защищенности Сканирование сети Успешно подобран пароль! Эксплуатация SQL Injection Выполнение команд на сервере Повышение привилегий Атака на внутренние ресурсы Внутренний пентест Установка сканера MaxPatrol Поиск уязвимостей Эксплуатация уязвимостей Перемещение в ИС ЦО Проведение атаки на ресурсы ЦО Получение максимальных привилегий во всей сети!

24. Примеры пентестов : использование архитектуры

25. Примеры пентестов : анализ защищенности

26. Примеры пентестов : отчетность

27. Примеры пентестов : отчетность

28. Примеры пентестов : PCI ASV

29. Примеры пентестов : отчетность по PCI DSS

30. Примеры пентестов : отчетность по PCI DSS (метрики трудозатрат)

31. Спасибо за внимание! Вопросы ? [email_address] http://devteev.blogspot.com/