Анализ уязвимостей и тестирование на проникновение в финансовых организациях

Центральный банк предъявляет требования к проведению обязательного тестирования на проникновение для финансовых организаций, что влечет за собой значительные затраты. Статья будет полезна руководителям финансовых организаций в части выполнения требований регулятора, а также способов экономии и повышения эффективности работ. Вместе с Геннадием Перминовым, ведущим консультантом по ИБ RTM Group, мы поговорим о требованиях к исполнителю пентестов, видах пентеcтов, об инструментарии, а также о том, как можно влиять на конечную стоимость пентеста.

В финансовом секторе тестирование на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры регулируются нормативными актами следующими документами:

Банки и НФО могут проводить тестирование на проникновение самостоятельно, если имеют необходимые инструменты и компетенцию. В Положениях Банка России нет требований об обязательном привлечении внешнего исполнителя для проведения пентеста.

Однако, если привлекается внешняя компания, она обязательно должна обладать лицензией ФСТЭК России на виды работ, предусмотренные подпунктом «б» пункта 4 постановления Правительства РФ от 3 февраля 2012 года № 79.

Тестированию на проникновение могут подвергаться как инфраструктура заказчика, так и программное обеспечение.

Если говорить о тестировании на проникновение программного обеспечения, то в финансовой сфере оно обычно проводится в рамках оценки соответствия ОУД4.

В положениях 719-П, 683-П (для банков) и 757-П (для НФО) содержатся требования к обеспечению использования прикладного программного обеспечения автоматизированных систем и приложений, прошедших (одно из двух):

На практике финансовые организации осуществляют оценку ПО на соответствие требованиям ОУД4, т. к. требования, используемые в системе сертификации ФСТЭК, являются более высокими в сравнении с требованиями ОУД4, а сертификация в целом получается дороже.

По решению финансовой организации оценка соответствия ПО автоматизированных систем и приложений проводится самостоятельно или с привлечением организации, имеющей лицензию на осуществление деятельности по технической защите конфиденциальной информации.

Существует несколько сценариев исследования защищенности актива, отличающихся качественным и количественным составом работ, используемыми методологиями и инструментами.

Основных из них три:

Анализ уязвимостей без эксплуатации в предложенной классификации обычно означает использование автоматизированных средств контроля защищенности (сканеров безопасности), которые основываются, в основном, на сигнатурном анализе версий ПО (обнаружение известных уязвимостей для конкретных версий), либо проведение простых проверок, которые легко автоматизировать. Их можно проводить при помощи таких решений, как, например, MaxPatrol8, Nessus, Red Check и подобных.

По итогам, заказчику предоставляется перечень потенциальных уязвимостей, составляющих поверхность атаки, которую может использовать потенциальный злоумышленник.

Достоинством такого подхода является его простота, невысокие требования к квалификации эксперта и скорость реализации. К недостаткам – возможно большое количество ложных срабатываний, которые необходимо верифицировать вручную, и поверхностность анализа.

При анализе уязвимостей с попыткой эксплуатации эксперт моделирует действия реального злоумышленника, используя большое количество инструментов, в том числе, написанных самостоятельно, пытается получить максимальный доступ к защищаемой информации. В отличие от предыдущего подхода, возникает возможность не просто определить поверхность атаки, но и предпринять попытки распространить ее вглубь, оценить наличие в информационной системе известных уязвимостей.

После реализации этого сценария заказчик получает информацию не только о потенциальных уязвимостях, но и о том, какие их них удалось проэксплуатировать и к каким результатам это привело.

Достоинство такого подхода в том, что он даёт возможность оценить процессы информационной безопасности в организации: менеджмент уязвимостей, патч-менеджмент, корректность конфигураций, квалификацию сотрудников подразделений по защите информации и т. п., выявить векторы атак, которые могут быть реализованы в информационной системе. Недостаток – требуется значительно более высокая квалификация экспертов, тестирование занимает значительно больше времени.

Поэтому третий подход – Red Team – является наиболее полным и объективным исследованием. В отличие от предыдущих, при данном сценарии исследуется не только защищенность компьютерной системы организации, но и защищенность всей организации в целом, включая также тестирование физической защиты, пропускного режима, социальной инженерии, поиск и анализ чувствительной информации из открытых источников, подключение несанкционированных устройств, разбрасывание носителей с вредоносным ПО и прочее.

В результате Red Team заказчик получает комплексную оценку состояния информационной безопасности в организации, включая различные аспекты.

Достоинством подхода является наиболее глубокое исследование безопасности организации в целом, не ограничиваясь информационной системой, которое позволяет оценить реальное состояние защищенности организации от потенциальных кибератак, причём в разных направлениях – от физической безопасности и обучения сотрудников противодействию социальной инженерии до DDoS и эксплуатации «опасных» уязвимостей. Недостаток – эксперт должен обладать квалификацией не только во взломе информационных систем, но даже в психологии, мотивации, материаловедении, актерском деле и других неожиданных областях.

Одним из видов работ, входящих в пентест, является социотехническое исследование, которое может проводиться как в рамках Red Team, так и предлагаться в качестве отдельной услуги. Суть метода заключается в воздействии на персонал нетехническими методами, побуждая его выполнить необходимые для исследователя действия – сообщить пароль, установить вредоносное ПО, перейти по заданной ссылке и т.п.

Возможны различные способы взаимодействия с персоналом в рамках социотехнического тестирования, каждый из которых имеет свои особенности, эффективность и сложность:

Экспертам компании RTM Group удавалось таким образом мотивировать пользователей скачать и установить на свои компьютеры бэкдоры, которые в дальнейшем позволяли развить атаку до захвата домена.

Каждый из способов имеет свои особенности, связанные со сложностью реализации, эффективностью, стоимостью и решаемыми задачами. Выбор того или иного способа зависит от потребностей конкретного заказчика.

Используемый инструментарий во многом зависит предпочтений эксперта и от стоящих задач, экспертности оценщика. Не существует формальных требований по использованию того или иного инструментария. Потенциальные уязвимости идентифицируются по свидетельствам, полученным на основании знаний и опыта специалиста. Для этого эксперт, занимающийся пентестами, должен обладать обширным набором знаний и навыков в области информационных технологий, их архитектуры, особенностей эксплуатации информационных систем, программировании, знаниями в области оценки уязвимостей, жизненного цикла ПО, криптографии, различных протоколов передачи информации, авторизации и аутентификации и других сферах. Помимо знаний, специалист должен обладать гибким интеллектом, навыками поиска и анализа информации, широким кругозором не только в сфере IT, но и в смежных областях.

Несмотря на отсутствие формальных требований по использованию того или иного инструментария, в настоящее время сложилась общепринятая практика по использованию тех или иных средств, которая не является обязательной.

В некоторой степени отраслевыми стандартами являются:

Перечисленные решения могут комбинироваться при проведении различных видов тестирования. Важно, чтобы результаты работы одного инструмента прямо или косвенно подтверждались другим. Поэтому в пентесте всегда используется комплекс инструментов даже одной задачи.

Как отмечалось, инструментарий ограничен только стоящими задачами и может быть представлен как коммерческими средствами, опенсорсными решениями, так и самописными разработками, созданными экспертами под конкретную ситуацию.

Независимо от выбранной глубины исследования и используемого инструментария, для каждой из обнаруженных уязвимостей оценивается критичность по шкале из четырех значений: критическая, высокая, средняя, низкая.

Оценка критичности уязвимостей может проводиться в соответствии с различными методиками. Например, для этого могут использоваться фреймворки VPR (Vulnerability priority rating). Тот, что предложила компания Tenable, или CVSS (Common Vulnerability Scoring System), разработанный Национальным советом по инфраструктуре (National Infrastructure Advisory Council, NIAC) США. Последний является наиболее распространенным и популярным, поэтому далее речь пойдет о нем. В настоящее время параллельно используются версии стандарта CVSS v2.0 и v3.1.

Критичность уязвимостей оценивается на основе ряда параметров: насколько она проста в эксплуатации, реально ли осуществить ее удаленно, есть ли готовый эксплойт и патч, возможна ли эскалация и т.д. Разница стандартов состоит в том, что при расчете CVSS v3.1 более детально рассматривается контекст существования уязвимости в конкретной информационной системе и ее влияние на нее. Такой расчет является более трудоемким и дорогостоящим, поэтому, где это допустимо, используется CVSS v2.0.

Критический и высокий уровень опасности, как правило, означают, что злоумышленник с низкой квалификацией, используя непривилегированный доступ локально или через интернет, может влиять на безопасность информации и для этого существуют готовый эксплоит, либо доказательство наличия уязвимости. Анализ пентестов, проведенных в 2022 году экспертами компании RTM Group, показывает, что 83% протестированных компаний имели в своих информационных системах уязвимости среднего уровня, 69% – высокого и 46% – критического.

Помимо оценки критичности уязвимостей в результате пентеста заказчик получает рекомендации по устранению найденных уязвимостей, либо по смягчению их влияния.

Это могут быть установка исправления, перенастройка программного обеспечения, изменение архитектуры информационной системы и др.

Рекомендации могут носить не только технический характер, но также и организационный. Например, по необходимости внедрения пропускной системы, обучения персонала, созданию подразделений или назначению лиц, ответственных за обеспечение информационной безопасности и др.

Стоимость проведения пентеста (тестирования на проникновение) может зависеть от нескольких факторов, включая:

Таким образом, оптимизация области исследования, глубины тестирования, сроков и других параметров пентеста, влияющих на его стоимость, может снизить затраты на пентест без потери качества.

Каждый проект уникален и иногда приходится сталкиваться с различными трудностями.

Таким образом, количество вариантов проведения пентестов огромно. Пентест может быть как самостоятельным видом работ, так и входить в состав комплексных оценок безопасности. Он может быть регламентирован нормативными документами регулятора и проводиться инициативно. Может проводиться сотрудниками организации, либо с привлечением сторонних исполнителей. Может проводиться с различной глубиной исследования – без попыток проникновения, с попытками проникновения и Red Team. Может проводиться по различным схемам в отношении предоставления исходных данных – White Box, Gray Box, Black Box. Может быть направлен на исследование информационной инфраструктуры, программного обеспечения, защищенности методам социальной инженерии, физической защиты, защищенности организации в целом.

Независимо от формы проведения пентест позволяет определить, какие уязвимости существуют в исследуемом объекте и разработать планы по устранению этих уязвимостей, позволяет проверить работу установленных механизмов безопасности.

Проведение пентеста является необходимым этапом в обеспечении безопасности информации, поскольку позволяет выявить уровень безопасности системы или приложения с точки зрения потенциального злоумышленника.