Inspired by Insecure

July 20, 2009 at 2:59 pm

Пентест vs. Консалтинг

Ознакомившись с постом Дмитрия Евтеева, касающегося тестов на прониктновение, согласился с мыслью, что при грамотной обработке результатов пентеста можно улучшить стратегию укрепления СУИБ. Однако ни один пентестер не предоставит полной картины безопасности исследуемой инфраструктуры, ведь работа заключается в проникновении, а не в обнаружении всех «узких» и потенциально «узких» мест.

 

Смысл не в том, что в идеале тест на проникновение должен комплексно оценить степень защищенности объекта, а в том, что на российском рынке услуг своя «реальность». Здесь пентестер (a.k.a. хакер) получает свои кровные по факту проникновения, работая по шаблонным и хорошо отработанным методикам. Как заметил Крис Касперски, тест на проникновение по большей части, осуществляется в «фоновом режиме». 
 

Другое дело – security-консультант, получающий «на руки» всю топологию исследуемого объекта и имеющий доступ ко всем его «углам». На мой взгляд, грамотный конслатинг должен включать в себя процедуру пентеста как подмножество.

Факт проникновения не может давать полной картины защищенности. И "расширенность" тестирования прямо пропорциональна степени финансовой "вложенности", что, естесственно, уже стремится к расценкам консалтинга.
 

0 likes Blog # ,
Share: / / /

Leave a Reply

Your email address will not be published. Required fields are marked *

Be aware of the first

Материалы, опубликованные в этом блоге, отражают исключительно точку зрения автора и могут не совпадать с мнением и позицией его текущего работодателя.