Тестирование на проникновение PENT
Проверка эффективности средств контроля безопасности путем эмуляции инструментов и методов вероятных злоумышленников.
Методические рекомендации:
Тестирование на проникновение может быть отдельным мероприятием или аспектом приемочного тестирования перед получением разрешения на эксплуатацию.
Деятельность может включать, но не ограничиваться:
- этический хакинг - использование тех же инструментов и методов, что и противник, для безопасного использования слабых мест в системе безопасности
- демонстрация того, как противник может подорвать цели безопасности или достичь конкретных целей противника
- оценка эффективности текущих/планируемых мер защиты или мер по снижению воздействия
- обеспечение безопасности сетей, систем и приложений
- выявление понимания бизнес-рисков, связанных с различными уязвимостями
- тестирование сети, инфраструктуры, веб-приложений и мобильных приложений на наличие слабых мест
- проверка уровней и конфигураций патчей
- социальная инженерия.
Уровни ответственности за этот навык
| 3 | 4 | 5 | 6 |
Тестирование на проникновение: Уровни 1-2
Этот навык, как правило, не соблюдается и не практикуется на этих уровнях ответственности и подотчетности.
Тестирование на проникновение: Уровень 3
Следуя стандартным подходам, разрабатывает и выполняет мероприятия по тестированию на проникновение. Изучает и исследует методы атак и рекомендует способы защиты от них. Анализирует и составляет отчеты о мероприятиях по тестированию на проникновение, результатах, проблемах и рисках.
Тестирование на проникновение: Уровень 4
Выбирает соответствующий подход к тестированию, используя глубокий технический анализ рисков и типичных уязвимостей. Разрабатывает сценарии тестирования, материалы и тестовые пакеты и проводит тестирование новых и существующих сетей, систем или приложений. Предоставляет консультации по вопросам тестирования на проникновение для поддержки других сотрудников. Записывает и анализирует действия и результаты и при необходимости вносит изменения в тесты. Предоставляет отчеты о прогрессе, аномалиях, рисках и проблемах, связанных с общим проектом.
Тестирование на проникновение: Уровень 5
Планирует и проводит тестирование на проникновение в рамках определенной сферы деятельности. Предоставляет объективную информацию о наличии уязвимостей, эффективности защитных мер и средств контроля. Берет на себя ответственность за целостность мероприятий по тестированию и координирует их выполнение. Предоставляет авторитетные советы и рекомендации по всем аспектам тестирования на проникновение. Определяет потребности и внедряет новые подходы к тестированию на проникновение. Вносит вклад в разработку стандартов тестирования безопасности.
Тестирование на проникновение: Уровень 6
Определяет политику тестирования на проникновение и владеет вспомогательными процессами. Управляет всеми мероприятиями по тестированию на проникновение в организации. Оценивает и консультирует по вопросам практической целесообразности альтернативных вариантов процесса тестирования. Создает возможности для постоянного совершенствования и изобретений в области тестирования на проникновение и руководит внедрением новых подходов. Оценивает возможности поставщиков в области разработки и тестирования. Управляет отношениями с клиентами в отношении тестирования на проникновение.
Тестирование на проникновение: Уровень 7
Этот навык, как правило, не соблюдается и не практикуется на этом уровне ответственности и подотчетности.