Główne badania i analizy wykonywane w ramach audytu bezpieczeństwa to:
- Testy penetracyjne urządzeń – w zależności od uzgodnionego zakresu, badanie wykonywane jest przy pomocy narzędzi analizujących sieć. Ma ono na celu ustalenie funkcji, miejsca urządzenia w topologii układu, jego wpływu na działania innych elementów oraz poznanie zasad i mechanizmów jego współpracy z systemami bezpieczeństwa, systemami usługowymi i pomocniczymi. Testy tego typu mogą obejmować badanie portów sieciowych urządzeń w celu wykrycia potencjalnych luk bezpieczeństwa w dostępnych usługach, jak również może ono wykorzystywać techniki typu „denial of service” oraz narzędzia eksploatujące wykryte luki bezpieczeństwa
- Analiza topologii całości systemu - Analiza ta pozwala na oszacowanie poziomu bezpieczeństwa całości układu, a więc pozwala ocenić poprawność topologii układu pod kątem bezpieczeństwa - w szczególności dobór technologii i mechanizmów współpracy styku systemu z siecią zewnętrzną
- Analiza bezpieczeństwa konfiguracji urządzeń - Badanie to pozwala ocenić podatność poszczególnych urządzeń na ataki wynikające ze słabości systemów operacyjnych, ich konfiguracji bądź udostępnianych przez nie aplikacji.
- Analiza zgodności konfiguracji i sposobu funkcjonowania urządzeń z założeniami ujętymi w polityce bezpieczeństwa - Badanie polega na weryfikacji zastanego w czasie badania rzeczywistego stanu elementu i porównaniu go z założonym stanem, opisanym w stosownym dokumencie Polityki Bezpieczeństwa.
- Analiza podatności aplikacji - Badanie polega na stwierdzeniu słabości aplikacji (i systemów, z którymi się one komunikują – np. baz danych) oraz ich podatności na znane ataki, poprzez wykorzystanie dostępnych z poziomu zwykłego użytkownika okien dialogowych aplikacji.
- Analiza kodu aplikacji - Badanie polega na analizie kodu aplikacji ze względu na sposób napisania kodu oraz bezpieczeństwo zastosowanych funkcji.
- Weryfikacja implementacji badanego systemu - Badanie polega na weryfikacji poprawności i jakości implementacji badanego systemu czy rozwiązania teleinformatycznego zastanego w czasie jego zgodności z dobrymi praktykami inżynierskimi jak również z założeniami wymaganiami wynikającymi z projektu technicznego oraz innych dokumentów określających ramy i zasady działania systemu. Badanie to zawiera w sobie badanie OP-LOCAL.
- Analiza topologii aplikacji – Badanie to ma na celu oszacowanie poziomu bezpieczeństwa aplikacji ze względu na sposób jej zaprojektowania przyjęty sposób działania oraz inne elementy takie jak np. sposób współpracy ze środowiskiem, w którym funkcjonuje.
- Audyty okresowe – jest to okresowy monitoring poziomu bezpieczeństwa wybranych elementów systemu oraz okresowa weryfikacja skuteczności działania zabezpieczeń w stosunku do aktualnie występujących zagrożeń.
|
