Тестирование безопасности

Целостность информации означает защиту данных от модификаций неавторизованными пользователями.

• Меры, направленные на подтверждение получателем правильности предоставленной системой информации.
• Схемы обеспечения целостности часто используют те же технологии, что и механизмы конфиденциальности, но обычно включают в коммуникацию дополнительную информацию для реализации алгоритмической проверки, а не только шифруют всё сообщение.
• Проверка корректности передачи информации между приложениями.

В рамках методологии DevSecOps автоматизация проверки целостности программных артефактов опирается на интеграцию следующих технологий:

• SBOM (Software Bill of Materials) — формирует машиночитаемый, криптографически связанный перечень всех компонентов и зависимостей, обеспечивая прослеживаемость состава программного обеспечения^[3][4].
• Криптографическая подпись образов контейнеров — создаёт доказательство происхождения и неизменности артефакта, гарантируя, что развёртываемый образ не был модифицирован после прохождения конвейера CI/CD^[3][5].
• Верификация зависимостей — автоматически сканирует зависимости и образы на наличие уязвимостей и вредоносного кода, позволяя блокировать продвижение артефакта при обнаружении рисков^[4][5].

Аутентификация может включать подтверждение личности человека, определение подлинности объекта, проверку соответствия продукта его упаковке или маркировке, либо удостоверение доверия к программному обеспечению.

Тестирование современных систем многофакторной и беспарольной аутентификации включает проверку устойчивости к таким угрозам, как усталость от многофакторной аутентификации (MFA fatigue), AiTM-фишинг («злоумышленник в середине») и перехват сессий^[6]..

Тестирование биометрической аутентификации на устойчивость к атакам предъявления (PAD), в том числе с использованием дипфейков, проводится в соответствии с международным стандартом ISO/IEC 30107-3^[7].^[8].

• Процесс определения, имеет ли запрашивающий право получить услугу или выполнить операцию.
• Контроль доступа является примером авторизации.

• Гарантирование готовности информационных и коммуникационных сервисов к использованию в ожидаемый момент времени.
• Информация должна быть доступна авторизованным лицам тогда, когда возникнет такая необходимость.

• В цифровой безопасности неотказуемость означает обеспечение того, что отправленное сообщение действительно было отправлено и получено заявленными сторонами. Неотказуемость позволяет отправителю сообщения не отрицать факт отправки, а получателю — факт получения.
• Идентификатор отправителя обычно указывается в заголовке сообщения для определения источника.

Наиболее распространённые понятия, связанные с проведением тестирования безопасности:

• Обнаружение — этап идентификации систем, находящихся в области тестирования, и используемых сервисов. Целью не является поиск уязвимостей, однако определение версий программного обеспечения или прошивок может выявить использование устаревших решений, связанных с потенциальными уязвимостями.
• Сканирование уязвимостей — после этапа обнаружения применяется автоматизированный поиск известных проблем с безопасностью путём сопоставления условий с известными уязвимостями. Уровень риска проставляется автоматически средством тестирования без ручной проверки или интерпретации. Может дополняться сканированием на основе учётных данных, что позволяет уменьшить число ложноположительных срабатываний с использованием предоставленных учётных данных (например, локальных аккаунтов Windows).
• Анализ уязвимостей — совмещает обнаружение и сканирование для выявления уязвимостей и интегрирует результаты в контекст тестируемой среды. Примером может быть исключение типичных ложноположительных результатов из отчёта и присвоение уровня риска с целью лучшей интерпретации результатов в бизнес-контексте.
• Оценка безопасности — расширяет анализ уязвимостей проверкой на практике для подтверждения наличия уязвимости, однако не включает эксплуатацию для дальнейшего получения доступа. Проверка может включать авторизованный доступ к системе, изучение логов, реакций системы, сообщений об ошибках, кодов и пр. Оценка безопасности ориентирована на широкий охват системы, но не на глубину одного конкретного вектора атаки.
• Тестирование на проникновение — тест на проникновение эмулирует нападение злоумышленника. На этом этапе выявленные уязвимости эксплуатируются для получения дополнительного доступа. Такой подход позволяет определить, насколько потенциальный атакующий может получить доступ к конфиденциальной информации, повлиять на целостность данных или доступность сервиса с соответствующими последствиями. Каждый тест проводится по обоснованной и полной методике, в рамках которой эксперт использует свои аналитические способности, широкий набор инструментов и знания по сетям и системам для поиска уязвимостей, которые не зарегистрированы автоматизированными средствами.
• Аудит безопасности — инициируется функцией аудита и управления рисками для анализа контроля или соответствия требованиям. Обычно характеризуется узкой областью; при этом могут использоваться любые подходы, перечисленные выше (анализ уязвимостей, оценка безопасности, тестирование на проникновение).
• Ревизия безопасности — верификация того, что установленные отраслевые или внутренние стандарты реализованы в компонентах системы или продукта. Обычно проводится посредством так называемого gap-анализа, анализа конфигураций/кода, либо анализа проектной/архитектурной документации. Эта активность не включает перечисленные выше методы (анализ уязвимостей, оценку безопасности, тесты на проникновение, аудит безопасности).
• Red Teaming — комплексная имитация кибератаки для проверки устойчивости организации к действиям злоумышленников. В отличие от классического тестирования на проникновение, ориентированного на поиск уязвимостей, Red Teaming фокусируется на достижении конкретной цели скрытными методами, целенаправленно имитируя тактики и процедуры реальных APT-группировок. Этот подход позволяет напрямую оценить готовность и эффективность реагирования службы информационной безопасности (Blue Team) на инциденты^[9].^[10]
• Программы Bug Bounty и VDP — методы внешнего тестирования безопасности с привлечением независимых исследователей. VDP (Vulnerability Disclosure Policy) представляет собой формальный канал для легального сообщения об обнаруженных уязвимостях. Bug Bounty является развитием этого подхода, при котором этичные хакеры получают финансовое вознаграждение за выявление критичных уязвимостей в рамках заданного охвата, обеспечивая непрерывное и глубокое тестирование систем^[11].^[12]
• Continuous Threat Exposure Management (CTEM) — операционная модель управления киберрисками, переводящая оценку безопасности от разовых проверок к проактивному и непрерывному процессу. В рамках CTEM классическое тестирование на проникновение не заменяется, а интегрируется в этап валидации. Модель ориентирована на приоритизацию уязвимостей с учётом бизнес-контекста, расширенный охват (включая ошибки конфигурации и теневые ИТ-активы) и проверку реального риска эксплуатации^[13].^[14]

• Анализ безопасности контейнеров и инфраструктуры^[15][16]
• SAST (Static Application Security Testing) — статический анализ (white-box) исходного кода, байт-кода или бинарных файлов без запуска программы для выявления структурных дефектов безопасности на ранних этапах разработки^[17][18]. Для снижения количества ложных срабатываний классический анализ может дополняться большими языковыми моделями (LLM)^[19][20].
• DAST (Dynamic Application Security Testing) — динамическое тестирование (black-box) развёрнутого приложения извне путём имитации атак для обнаружения уязвимостей в среде выполнения^[17][21].
• IAST (Interactive Application Security Testing) — интерактивное тестирование (gray-box) с помощью встроенного в среду выполнения агента, объединяющее точность SAST и контекст DAST^[17][18][22].
• DLP — предотвращение потерь данных
• IDS, IPS — системы обнаружения и предотвращения вторжений
• Сканирование открытого программного обеспечения (см. Безопасность открытого программного обеспечения)
• RASP — самозащита приложений во время исполнения
• SCA (Software Composition Analysis) — сканирование компонентов с открытым исходным кодом для выявления уязвимостей в сторонних библиотеках, управления рисками зависимостей и формирования спецификации программного обеспечения (SBOM)^[23][24][25].
• WAF — межсетевой экран для веб-приложений
• ASPM (Application Security Posture Management) — платформы для централизованного управления состоянием безопасности приложений, обеспечивающие агрегацию, консолидацию и корреляцию результатов из различных инструментов (SAST, DAST, SCA)^[26][27].
• BAS (Breach and Attack Simulation) — платформы имитации атак для непрерывного автоматического тестирования и валидации эффективности систем предотвращения утечек (DLP) и обнаружения/предотвращения вторжений (IDS/IPS)^[28][29].

В качестве российских аналогов зарубежных систем тестирования безопасности (SAST, DAST, SCA) применяются такие решения, как PT Application Inspector, Solar appScreener, Svace, Стингрей, CodeScoring и DerScanner^[30][31].

Внедрение подхода Shift-Left в конвейеры DevSecOps осуществляется постепенно для предотвращения блокировки процессов разработки^[32]. Выделяются следующие основные этапы интеграции тестирования безопасности:

• Аудит и подготовка: инвентаризация инфраструктуры и процессов доставки кода, формирование требований по безопасности и разработка нормативной документации^[32][33][34].
• Пилотное внедрение: внедрение базовых инструментов (SAST, SCA) в режиме наблюдения без блокировки сборок, а также обучение разработчиков^[32][35][34].
• Настройка и масштабирование: включение блокировки конвейеров при обнаружении критичных уязвимостей, встраивание проверок на всех этапах жизненного цикла (моделирование угроз, SAST, DAST) и распространение практик на все команды^[32][36].
• Оптимизация: непрерывный мониторинг активности и улучшение процессов^[35][36].

Для оценки эффективности внедрения DevSecOps используются следующие ключевые метрики:

• Скорость реакции: время обнаружения инцидента (MTTD) и время реагирования (MTTR), а также общая скорость устранения уязвимостей^[35][32][36].
• Автономность разработки: доля уязвимостей, которые разработчики устраняют самостоятельно без привлечения специалистов по информационной безопасности^[32].
• Покрытие и качество: охват кодовой базы сканированием и количество найденных уязвимостей по уровню критичности^[36].
• Бизнес-показатели: ускорение вывода продукта на рынок (Time-to-Market) и снижение затрат за счёт исправления дефектов на ранних стадиях разработки^[33][34].

Объем российского рынка услуг тестирования защищенности оценивается в 3—4 млрд рублей при ежегодных темпах роста около 30 %. Ключевыми драйверами развития рынка выступают ужесточение нормативных требований, цифровизация экономики, рост числа кибератак и процессы импортозамещения^[37].

Актуальные требования ФСТЭК России (включая обновлённый порядок аттестации по Приказу № 60) и Указ Президента РФ № 250 устанавливают правила к периодичности и методам оценки защищенности:

• Для государственных информационных систем (ГИС) 1 и 2 классов защищенности с выходом в интернет тестирование на проникновение является обязательным^[38].
• Периодический контроль уровня защищенности должен проводиться не реже одного раза в три года методами анализа уязвимостей и тестирования на проникновение^[38].
• Организации обязаны осуществлять систематическую оценку состояния защиты, рассчитывать базовый показатель защищенности по методике ФСТЭК не реже одного раза в шесть месяцев и направлять данные регулятору^[39].
• Для объектов критической информационной инфраструктуры (КИИ) и систем региональных органов власти установлен целевой показатель: не менее 80 % объектов должны быть защищены от актуальных угроз^[39].