Заменит ли автоматизация пентестеров?

Тестирование на проникновение (penetration testing, pentest) — вероятно, самая показательная «дисциплина» информационной безопасности. Показательная во всех аспектах: про хакеров снимают фильмы, их деятельность помогает подсветить «настоящие» проблемы информационной безопасности компании (real security), а в ИБ-сообществе всегда с трепетом и почетом относятся к этим ребятам!



Однако, с точки зрения заказчиков пентестов, даже у такой интересной деятельности есть нюансы: квалифицированные специалисты стоят дорого, реализовывать практики Red и Blue Team может позволить себе не каждая компания, а сами проверки носят периодический характер (хорошо, если больше одного раза в год) и не могут охватить инфраструктуру в полном масштабе. Мысли об автоматизации такой деятельности появились давно, а со временем были разработаны и продукты, которые воплощают эти идеи в реальность! Интересно? Тогда добро пожаловать под кат!

С одной стороны, специалисты по тестированию на проникновение ничем не ограничены кроме LoA (Letter of Authorization), обладают фантазией, смекалкой и могут находить нетривиальные способы решения поставленной задачи.

С другой стороны, списывать автоматизацию со счетов тоже не стоит: системам не надо спать, есть, укладывать спать детей, они могут работать непрерывно, приносить пользу и ощутимую экономическую выгоду. А если у вас есть Red Team, то вы можете вооружить ее участников рассматриваемыми ниже инструментами!

Так что же это за решения такие, и что они делают? Если систематизировать по принципам работы и достигаемым результатам, то можно выделить три ключевые группы:

• Аналитический пентест — решения, которые позволяют строить гипотезы о возможном развитии атаки при наличии знаний о том, как можно эксплуатировать уязвимость для получения доступа к наиболее ценным ресурсам компании.
• Тестирование средств защиты — решения, которые содержат большое количество всевозможных проверок для конкретного вектора атаки или элемента ИТ-инфраструктуры. Например, что будет, если я запущу вот эти N exploits на рабочей станции? Сколько из них остановит антивирус или EDR?
• «Автоматизированный» пентест — последний, но не по значению! Решения, которые позволяют имитировать действия реального хакера. Включая эксплуатацию уязвимостей. Страшно? Не бойтесь, ещё ни одна сеть не пострадала при проведении тестирований пока что!

Про каждое направление можно написать отдельную статью и не одну. Поэтому мы решили пойти немного иным путем — лучше один раз увидеть, чем сто раз прочитать услышать! Приглашаем вас на серию вебинаров, на каждом из которых мы будем разбирать отдельную группу решений на примерах:

• Аналитический pentest — Cronus CyBot;
• Тестирование средств защиты — Cymulate;
• Автоматизированный pentest — Pcysys PenTera.

Каждый вебинар будет состоять из двух частей:

• Вводная (слайды, слайды, слайды, увы…). Расскажем, что собой представляет решение, что умеет и как его можно использовать.
• Live demo. Запустим у вас на глазах и сломаем что-нибудь!

Кроме того, на вебинарах будут представители вендора, которые ответят на все наши и ваши, даже самые каверзные, вопросы.

И главный вопрос, который мы поставили в заголовок статьи: «Заменит ли автоматизация пентестеров?». Да или Нет? Ответы, мнения и точки зрения вы получите на наших вебинарах! А заодно у вас будет возможность высказать свою точку зрения — мы всегда рады и открыты для дискуссии!

22 октября 16:00. Cronus CyBot: аналитическое тестирование защищённости

Решение Cronus CyBot выявляет уязвимости, моделирует варианты развития атак и определяет в инфраструктуре, вебе и приложениях наиболее критичные недостатки, устранение которых повысит безопасность ценных активов компании. На вебинаре рассмотрим функциональные возможности Cronus CyBot и ответим на вопросы: как работает продукт, какие задачи решает, как использовать результаты работы на практике. Проведем live-демонстрацию решения и ответим на вопросы.

Зарегистрироваться на вебинар

29 октября 16:00. Cymulate: проверка эффективности системы защиты по различным векторам

Решение Cymulate позволяет тестировать настройку средств защиты электронной почты, веб-шлюза, веб-приложений, конечных точек, а также позволяет имитировать phishing-атаки, горизонтальное движение по сети и передачу чувствительных данных за пределы компании. На онлайн-мероприятии поговорим о функциональных возможностях продукта Cymulate, вариантах его применения, продемонстрируем работу решения на примере нескольких векторов атак.

Зарегистрироваться на вебинар

12 ноября 16:00. PenTera: непрерывный комплексный пентест инфраструктуры

Платформа автоматизации пентеста Pcysys PenTera непрерывно и последовательно тестирует вашу киберзащиту. Система автоматически находит и выполняет этичную эксплуатацию уязвимостей, строит и визуализирует полные векторы атак, даёт рекомендации по устранению выявленных недостатков для повышения защиты. На вебинаре вы сможете познакомиться с платформой Pcysys PenTera, узнать о её преимуществах перед другими методами анализа защищённости и увидеть систему в действии.

Зарегистрироваться на вебинар

До встречи в эфире!