1. Тестирование на проникновение, как инструмент для поиска уязвимостей Александр Дорофеев, CISSP, CISA

2. Содержание Подходы к проведению инструментального аудита информационной безопасности Обзор существующих методологий проведения теста на проникновение Обзор программных средств для проведения инструментального аудита Backtrack – как комплекс программных средства аудитора-«этичного хакера» 2

3. Содержание Риски, связанные с тестированием на проникновение и меры по их минимизации Формат отчета по аудиту ИБ Как социальная инженерия может дополнить внешнее тестирование на проникновение? Примеры из практики 3

5. English: penetration testing, ethical hacking4

6. Модель злоумышленника 5

7. Подходы к оценке защищенности 6

9. Больше искусство, чем аудит. Качество сильно зависит от уровня специалиста

10. Обычный результат: несколько опасных уязвимостей

11. Высокий риск нарушения доступности систем7

13. Качество сильно зависит от используемого сканера.

14. Результат: множество уязвимостей различного уровня опасности

15. Средний риск нарушения работоспособности систем8

17. Результат: множество уязвимостей различного уровня опасности

18. Низкий риск нарушения работоспособности систем9

20. Контролируемые риски нарушения доступности систем

21. Контролируемое качество аудита10

22. Основные цели работ 11

23. Комплексный подход: основные этапы 12

25. Open Source Security Testing Methodology Manual (OSSTMM)

26. OWASP Testing Guide

27. Книги серии “Секреты хакеров”13

29. Содержит десятки установленных утилит, готовых к работе(NMap, Metasploit, Niktoи др.)14

30. Backtrack в действии 15

31. Поисковикина службе хакеров 16

32. Риски и контрмеры 17

34. Границы проекта

35. Подход

36. Описание каждой уязвимости в формате: обнаружение – риск – рекомендацияЗахватывающее последовательное описание действий аудитора интересно только администратору 18

37. Мотивы Заказчика Консультанта Повысить уровень защищенности Продать ПО Увеличитьбюджет на ИБ Продать услуги Выполнить внешние требования 19

39. Отсутствие обновлений

40. Слабые пароли

41. Ошибки специалистов20

42. Пароли 1111….1 123456 89031234567 12301980 Elena, elena82, elena26 Qwerty october october56 London jrnz,hm $uper 21

44. Установка обновлений

45. Конфигурация систем в соответствии с рекомендациями вендоров22

47. Фишинг-атака может помочь получить пароль пользователя быстрее, чем его найдет THC-Hydra по словарю.23

48. Полезные ссылки www.backtrack-linux.org www.nessus.org www.owasp.org www.oissg.org/issaf 24

49. АНО “Учебный центр “Эшелон” www: www.uc-echelon.ru E-mail: a.dorofeev@npo-echelon.ru Тел.: +7(495) 645-38-09 Александр Дорофеев CISSP, CISA Директор