Повышение защищенности объектов информационной инфраструктуры для ИТ-компании

1. Проект был реализован в два этапа, каждый из которых позволил всесторонне оценить безопасность инфраструктуры заказчика.
   
   Первый этап включал анализ исходного кода и исполняемых файлов с помощью методов SAST и DAST. Специалисты ICL Services проверяли систему на наличие уязвимостей в режиме реального времени, имитируя возможные внешние атаки и проверяя, как эффективно устраняются ранее выявленные проблемы.
   
   На втором этапе команда провела комплексное тестирование на проникновение. Использовались методы «черного ящика», когда оценка проводилась без доступа к внутренним данным, и «серого ящика», когда проверялись веб-приложения и системы с пользовательским доступом.
   
   Тестирование методом «черного ящика» проходило в несколько шагов:
   
   
   • начинали с разведки и сбора информации о целевых системах, используя открытые источники, DNS, WHOIS и OSINT-инструменты, чтобы понять структуру сети и потенциальные точки входа;
   • далее проводилось сканирование портов с помощью Nmap, поиск скрытых файлов и директорий, а также извлечение информации.
   Особое внимание уделялось моделированию атак на сетевые сервисы и веб-приложения, включая уязвимости из списка OWASP Top 10, проверку инъекций (SQL, OS, LDAP), нарушений контроля доступа, небезопасных настроек веб-приложений, XSS-уязвимостей и ненадлежащей обработки ошибок.
   
   Также выполнялись попытки эскалации привилегий на доступных внутренних системах.
   
   Для работы команда использовала широкий набор инструментов, включая Burp Suite Professional Edition, SonarQube, OWASP ZAP, Google Dorking, Nmap и Nessus, kiterunner, что позволило тщательно выявить и систематизировать все потенциальные риски. 

Продукты и технологии

• Burp Suite Professional Edition
• SonarQube
• OWASP ZAP
• Google Dorking
• Nmap
• Nessus
• kiterunner