Produktem przeprowadzonych prac będzie raport poaudytowy zawierający:
- raport zidentyfikowanych podatności,
- rekomendacje działań, które należy wdrożyć w celu zaadresowania zidentyfikowanych podatności.
Kompleksowy audyt teleinformatyczny – moduły
Określanie poziomu bezpieczeństwa sieci i aplikacji webowych może być realizowane dwojako: jako dogłębny audyt teleinformatyczny wykonywany jednorazowo oraz jako stałe, cykliczne testy infrastruktury podejmowane w ramach umowy o stałej współpracy. Drugi wariant jest szczególnie wskazany w przypadku wystawiania przez Klienta usługi do Internetu, zaś możliwość automatyzacji całego procesu pozwala ESKOM na zaoferowanie atrakcyjnych warunków cenowych.
Proponowany Klientom audyt informatyczny został podzielony na zespoły czynności podejmowane w zakresie wyodrębnionych modułów. Każdy z nich może być wykonywany oddzielnie, ale można je również łączyć w praktycznie dowolną konfigurację, a w razie konieczności uzupełnić ją o czynności dodatkowe np. w sytuacji, gdy wykryta podatność powinna zostać dodatkowo przenalizowana manualnie.
Na poszczególne moduły składają się:
- Zautomatyzowany zewnętrzny skan usług sieciowych – za pomocą specjalistycznego oprogramowania, inżynierowie identyfikują adresy oraz nazwy domenowe wykorzystywane przez Klienta w Internecie oraz uruchomione na nich usługi. Zostaną wykryte wszelkie informacje nt. poszczególnych usług, jakie można o nich uzyskać skanując je z zewnątrz.
- Zautomatyzowany wewnętrzny skan usług sieciowych – obejmuje identyfikację adresów wykorzystywanych w sieciach wewnętrznych Klienta oraz uruchomione na nich usługi. Specjaliści zbierają wszelkie informacje możliwe do uzyskania w drodze skanu wewnętrznego.
- Zautomatyzowany skan systemów i aplikacji – przetestowanie systemów operacyjnych i wybranych aplikacji (np. aplikacje webowe, serwery baz danych itp.). W wyniku testów identyfikowane są potencjalne podatności (np. nieaktualne pakiety oprogramowania). Działania mogą dotyczyć zarówno systemów w sieci wewnętrznej, jak i wystawionych na zewnątrz.
- Manualna weryfikacja systemów i aplikacji – automatyczne skanery mogą nie wykrywać istotnych problemów konfiguracyjnych oraz instalacyjnych, szczególnie w przypadku systemów o specyficznej lub rzadko występującej konfiguracji. W wyniku przeprowadzonego przez specjalistów manualnego przeglądu zostaną wykryte i zaprezentowane potencjalne problemy lub nieprawidłowości.
- Testy penetracyjne aplikacji i systemów – inżynierowie wykorzystują wykryte podatności, próbując przełamać zabezpieczenia w infrastrukturze Klienta. W ramach tych prac, odbywających się w środowisku testowym lub produkcyjnym, zostaną opracowane nowe lub zmodyfikowane istniejące narzędzia w celu złamania zabezpieczeń teleinformatycznych. Prace te służą określeniu możliwości wykorzystania analizowanej podatności.
Koszty i wymogi techniczne audytu
Aby inżynierowie ESKOM mogli w pełni realizować usługi audytorskie w ramach poszczególnych modułów, będą musiały zostać spełnione pewne warunki w zależności od zakresu prac. W szczególności specjaliści będą oczekiwali, iż Klient:
- umożliwi wykorzystanie specjalistycznych narzędzi w swojej sieci teleinformatycznej, albo poprzez uruchomienie dostarczonego przez ESKOM serwera wirtualnego w swojej infrastrukturze wirtualnej, albo poprzez możliwość dołączenia do swojej sieci lokalnej laptopa w przypadku prowadzenia audytu przez specjalistę na miejscu,
- pozwoli na zdalny dostęp do serwera wirtualnego uruchomionego na potrzeby audytu,
- udostępni wszelkie parametry konfiguracyjne niezbędne do przeprowadzenia audytu,
- umożliwi uruchomienie skryptów zbierających dane o konfiguracji serwerów i aplikacji po zaakceptowaniu ich treści,
- dokona odpowiedniej rekonfiguracji swojej sieci w celu maksymalnego wykorzystania zastosowanego oprogramowania specjalistycznego.
Preferowanym sposobem dostępu do parametrów konfiguracyjnych jest udostępnienie odpowiednio uprawnionego konta w systemie. Wykonywanie prac pod nadzorem Klienta nie stanowi problemu, a te, które powinny być przeprowadzone w infrastrukturze informatycznej organizacji, mogą zostać wykonane w jej siedzibie. Działania analityczne zostaną wówczas podjęte już poza nią.
