Audity systémov a zariadení

Potrebujete dôkladnú bezpečnostnú kontrolu kľúčových prvkov vášho informačného systému? Riešením týchto a mnohých ďalších problémov je vykonanie podrobného bezpečnostného auditu konkrétnych systémov a/alebo zariadení v rámci informačného systému vašej organizácie.

Zatiaľ čo penetračné testy nás stavajú do úlohy potenciálneho útočníka, technické bezpečnostné audity pristupujú k skúmanému prvku skôr v úlohe správcu systému a realizátora odporúčaných opatrení na zlepšenie jeho bezpečnosti.

Pri kontrole nastavení jednotlivých systémov využívame znalosti a skúsenosti bezpečnostných a systémových špecialistov, odporúčania výrobcov na posilnenie systémov a pod. Všetky zistené nedostatky podrobne popíšeme v správe z auditu. Popíšeme riziká týchto nedostatkov a, samozrejme, návrhy na ich odstránenie (alebo minimalizáciu rizík). 

V rámci technických auditov poskytujeme tieto služby:

Audit konfigurácie aktívnych sieťových prvkov Jedným z najrizikovejších miest v sieti, ktoré je spojené s veľkým počtom neoprávnených prienikov, sú aktívne sieťové prvky. Pri ich analýze sa preto zameriavame najmä na oblasti nastavenia statických tabuliek na aktívnych sieťových prvkoch, NAT - nastavenie prekladu adries, monitorovanie siete, zabezpečenie administratívnych rozhraní atď. 
 
Audit konfigurácie operačných systémov na serveroch Audit konfigurácie operačných systémov (OS) na serveroch sa vykonáva pomocou systémových prostriedkov a špecializovaných nástrojov. Audit vykonávajú bezpečnostní špecialisti pre každú platformu.

Skenovanie systému Windows je zamerané napríklad na posúdenie nastavení politiky hesiel (pasword policy), politiky auditu, aktívneho adresára atď. Operačné systémy typu UNIX sa kontrolujú najmä z hľadiska konfigurácie a zabezpečenia služieb (/etc/conf/) atď. 
 
Audit konfigurácie firewallov a systémov IDS/IPS Analýzu vykonávajú špecialisti na firewally, ktorí analyzujú nastavenia týchto kľúčových bezpečnostných prvkov z pozície správcu.
 
V prípade firewallov je možné auditovať samotné zabezpečenie aplikácie aj definované pravidlá. 
Výsledkom analýzy IDS/IPS je predovšetkým posúdenie vhodnosti nastavení systému klienta a prípadné návrhy na ich optimalizáciu. 

Audit bezpečnosti špeciálnych systémov, aplikácií a služieb Overenie vybraných aplikácií z hľadiska spoľahlivosti, konfigurácie, integrity, autentifikácie a dôvernosti údajov. Patria sem napríklad audity aplikačných serverov, databázových serverov, webových serverov a mnohých ďalších aplikácií a služieb, ktoré môžu zahŕňať oblasti ako bezpečnosť kritických dátových tokov, chyby aplikácií, možnosť zneužitia aplikácií, stabilita aplikácií, implementácia šifrovania, PKI atď. 
 
Ďalšie špecializované audity a testy (podľa individuálnych požiadaviek klienta)

• Audity v súlade s normami PCI-DSS a PA-DSS.  
• Špecializované hĺbkové audity, pri ktorých sa zohľadňuje typ auditovaného zariadenia, jeho umiestnenie a prepojenie s inou IT infraštruktúrou. Neriešia sa ako jeden audit, ale ako audit celej infraštruktúry. 
• Audity topológie a infraštruktúry - preskúmanie topológie siete alebo cloudu v prevádzke z hľadiska bezpečnosti prístupu tretích strán, partnerov, zamestnancov, navrhovaných oddelení DMZ a zabezpečenia core systémov atď.  

Pri realizácii bezpečnostných auditov používame našu komplexnú a neustále aktualizovanú metodiku založenú na metodikách a odporúčaniach popredných organizácií zaoberajúcich sa bezpečnosťou informačných technológií: 

• Doporučenia výrobcov týkajúce sa hardeningu auditovaného HW, OS a SW. 
• Doporučenia organizácie IETF (Internet Engineering Task Force), ktorá vydáva RFC (internetové štandardy). 
• Doporučenia organizácie NIST (napr. dokument NIST SP 800-44 Guidlines on Securing Public Web Servers). 
• Audity CIS Benchmarks. 
• CVE - Common Vulnerabilities and Exposures (Spoločné zraniteľnosti a ohrozenia) - štandardizovaný slovník bežných zraniteľností a hrozieb. 
• Common Criteria (ISO/IEC 15408) - norma na posudzovanie úrovne bezpečnosti systémov atď.