Аудит безопасности OT/IoT систем

+7 (499) 322-11-18
pentest@cyber-angel.ru

Аудит безопасности
OT/IoT систем

Тестирование на проникновение и обеспечение информационной безопасности в промышленных системах

pentest@cyber-angel.ru

Благодаря растущему уровню автоматизации и кросс-обмена данными в промышленной среде информационные технологии (ИТ) и операционные технологии (ОТ) все чаще соприкасаются, а число физически изолированных от внешних сетей систем сокращается.

С развитием автоматизации производства кибератаки на системы растут в геометрической прогрессии, а последствия обходятся все дороже. Без комплексной стратегии кибербезопасности системы OT/IoT легко становятся целями для кибератак.

Тестирование безопасности OT/IoT — это упреждающая техническая оценка, которая выявляет уязвимости безопасности OT/IoT системы и определяет эффективность мер, принятых для защиты данных и систем интернета вещей.

Почему аудит безопасности OT/IoT систем это важно?

Сети связи
Серверы
Базы данных
Облачные платформы
RDP доступ
CRM системы
ERP системы
HTTP
Доступ в Интернет

IT

OT

IoT

IIoT

Станки
Сборочные линии
RTU устройства
HMI интерфейсы
SCADA системы
IED устройства
ПЛК
Modbus
Роботы

интернет вещей

индустриальный
интернет вещей

IoT/IIoT

Узнать больше об услуге:

Отправляя заявку вы соглашаетесь с политикой конфиденциальности

Пентест OT/IoT устройств

Тестирование на проникновение и моделирование атак на OT/IoT-систему и встроенные устройства для измерения возможной поверхности атаки и потенциального воздействия на устройства. Проверяется продукт и его защита.

Пентест OT/IoT в экосистеме

Тестирование на проникновение и моделирование атак в экосистеме устройств OT/IoT для измерения возможной поверхности атаки и потенциальных угроз. Проверяется экосистема развертывания и ее средства защиты.

Тестирование безопасности прошивок OT/IoT-устройств

Проверка кода программного обеспечения и превентивный поиск уязвимостей.

Аудит конфигурации экосистемы OT/IoT

Проверка конфигурации сети и шлюзов в экосистеме на предмет слабых мест в защите.

Что входит в аудит безопасности OT/IoT систем?

Пентест OT/IoT систем

OT/IoT и встраиваемые устройства

Проверка эффективной безопасности интерфейсов управления, настройки и коммуникаций устройств.

Сети или шлюзы

Тестирование на проникновение сетевых устройств и шлюзов экосистемы, защита которых имеет критическое значение.

Тестирование веб-приложений

Тестирование безопасности веб-приложений, веб-служб и API-интерфейсов для выявления скрытых уязвимостей.

Облачные системы и микросервисы

Тестирование безопасности облачных систем, используемых для обмена данными и командами OT/IoT.

Мобильные приложения

Проверка уязвимостей приложений, установленных на устройствах пользователей для управления OT/IoT-системой или для сбора данных.

Беспроводные устройства

Проверка надежности безопасности беспроводной сети по протоколам Bluetooth, ZigBee, LoRa, NBIoT, MQTT, Wi-Fi и Thread.

Пентест (pentest, penetration test) – это испытание OT/IoT/встраиваемых устройств и их средств защиты на реальных угрозах для выявления поверхности атаки и возможных уязвимостей. В рамках пентеста моделируются действия реальных злоумышленников.

Сбор информации

Сбор информации о системе из общедоступных баз данных и возможных методах атаки на систему.

Преодоление
Firewall / IDS / WAF

Уклонение от защиты системы обнаружения вторжений, преодоление фаервола системы и веб-приложений.

Изучение и маппинг сервиса

Определение активных узлов и сервисов на внешнем периметре системы.

Сканирование уязвимостей

Активное сканирование внешнего периметра, идентификация версий и типов запущенных сетевых служб и приложений с целью выявления оптимальных векторов атаки.

Эксплойты

Моделирование атак на вычислительную систему, внутренние сервисы и приложения, атаки с использованием учетных данных сотрудников из открытых источников.

Пример отчёта

Составление подробного отчета по проведенному тестированию с указанием методов и способов сбора информации, методов проведения атак и рекомендаций к устранению.

Методология тестирования OT/IoT систем

При тестировании мы используем подход gray-box — метод тестирования программного продукта или приложения с частичным знанием его внутреннего устройства. Когда речь идет о пентестировании OT-систем, это помогает заранее собрать подробную информацию о системе и избежать тестов, которые могут нарушить ее работу.

Для ограничения области тестирования мы сегментируем IT/ОТ-систему предприятия по модели Purdue — модели сегментации сети системы промышленного управления, которая определяет уровни, компоненты и элементы управления безопасностью для этих сетей. Каждый тип устройства в сети попадает на определенный уровень модели.

1

2

3

4

5

6

Получить пример отчёта

В рамках услуги тестирования также может быть проведен аудит конфигурации системы OT/IoT и сетевых устройств на соответствие требованиям безопасности по нескольким методологиям.

Аудит списка контроля доступа

Аудит политик контроля доступа Access Control List (ACL) межсетевых экранов, брандмауэров и других устройств граничного уровня.

Сравнительный аудит CIS

Аудит систем конфигурации в соответствии с рекомендациями Центра Интернет Безопасности (Center for Internet Security, CIS).

Аудит SCAP/OVAL

Системы аудита, использующие протоколы Security Content Automation Protocol (SCAP) и Open Vulnerability and Assessment Language (OVAL).

Аудит конфигурации OT/IoT устройств