Вице-президент и директор департамента по информационной безопасности
компании Orbitz Эд Бэллис во время своего выступления на семинаре CSO Executive
Seminar on Data Loss Prevention назвал проведение тестов на проникновение одним
из ключевых элементов в системе обеспечения безопасности пользовательских
данных.
В частности, он выделил три направления использования, где такое тестирование
уже доказало свою эффективность.
Обнаружение методов социальной инженерии
Социальная инженерия всегда была проверенным способом добраться до важных
корпоративных сведений. Беллис находит, что самым слабым звеном обычно является
сотрудник компании, который пытается быть максимально полезным и не догадывается
о подстерегающей его опасности. В этом случае человек, проводящий тестирование
на проникновение, может найти такого работника дата-центра, который открыл двери
в компанию слишком широко. После чего обнаруженную проблему можно устранить.
Обнаружение устаревших приложений
Эд Беллис отмечает, что число используемых в Orbitz приложений стремительно
приближается к бесконечности. Среди всего этого многообразия скрываются
устаревшие и неиспользуемые программы, которые, тем не менее, могут быть
атакованы хакером с целью кражи данных. Тест на проникновение помогает
определить наличие потенциальных уязвимостей и устранить их.
Обнаружение нестыковок в логических взаимосвязях
Другое потенциально слабое место сети – это логические утечки. Уязвимости
подобного рода позволяют постороннему получить доступ к данным, которые на
первый взгляд кажутся защищенными. Беллис поясняет, что сканирование сети
вручную зачастую позволяет выяснить, что совсем не обязательно быть хакером,
чтобы использовать приложение не по прямому назначению.
