Главная мысль
До начала работ согласуйте ответственных контактных лиц, объекты и время тестирования, а также порядок выдачи отчёта. В описанной Xcitium программе отчёты доступны через портал Insight.
Оценка недостатков защиты: анкеты и отчёт
Оценка недостатков защиты (Gap Assessment) сопоставляет меры кибербезопасности организации с подходящей отраслевой системой требований. В описанной Xcitium программе ответственные за административную работу и ИТ заполняют свои части анкеты в Insight. Управление, политики, работа с поставщиками и решения об инцидентах относятся к административной части; инфраструктура, доступ, обновления, резервное копирование и журналы — к технической. После отправки обеих частей ответы проверяют или проводят их аудит в зависимости от выбранного варианта услуги. Итоговый отчёт и рекомендации можно скачать с портала.
Разница между сканированием уязвимостей и тестом на проникновение
Сканирование уязвимостей использует автоматизированные средства для выявления проблем и не эксплуатирует их. Тест на проникновение вручную проверяет, можно ли использовать уязвимости для получения доступа и контроля в рамках согласованного сценария. Поэтому область работ и полномочия необходимо утвердить заранее для обеих услуг. FAQ Xcitium ограничивает внешнее сканирование и тесты публичными IP-адресами и доменами, предоставленными клиентом; к связанным сторонним системам доступа не получают.
Укажите цели и временное окно тестирования
В форме сведений о клиенте (KYC) укажите все публичные IP-адреса, домены и диапазоны, включая предположительно неиспользуемые адреса, а также использование динамических IP. Это помогает выявить забытые устройства, подключённые к интернету. Частные диапазоны 10.0.0.0/8, 172.16.0.0/12 и 192.168.0.0/16 не подходят для внешнего сканирования. Выберите время в разделе Testing Window; для изменения свяжитесь со службой поддержки. Согласно FAQ Xcitium, сканирование обычно проводят вне рабочих часов менее чем за час, а отчёт ожидается на следующий рабочий день. Указанная средняя длительность теста на проникновение — от двух до шести недель в зависимости от области работ. Сроки работ и выдачи отчёта для своего проекта согласуйте отдельно. В описанной программе отчёт получают через Insight; учётные данные передавать другим людям нельзя.
Подготовьте участников к симуляциям и обучению
В описанной Xcitium программе фишинговые симуляции отправляют на рабочие адреса, предоставленные организацией; личные адреса электронной почты не используются. Обновите список участников в портале по одному или массово, проверьте адреса на опечатки и сообщите сотрудникам о предварительном письме «Cybersecurity Test», которое отправляет Xcitium. Участники, добавленные в настроенный курс, записываются автоматически и получают приветственное письмо с данными для входа. Модули курса доступны в разделе My courses учебной учётной записи.