移动运营商的网络和Web应用程序的渗透测试

移动运营商的网络和Web应用程序的渗透测试

行业
电信,信息技术
技术领域
渗透测试,信息安全

顾客

客户是拥有超过500万订户的移动运营商。

挑战

作为一家拥有500万订户和近2,000名员工的公司,客户拥有庞大的敏感数据(包括财务信息)数据库,这对于入侵者而言是有吸引力的目标。此外,作为移动服务提供商,客户应特别注意其服务的稳定性。

为了确保现有的安全措施足以保护所有资产免遭未经授权的访问,客户决定评估信息系统和公共Web应用程序的安全级别;识别可能的漏洞并消除任何已发现的安全问题。因此,客户正在寻找可靠的合作伙伴,以提供 渗透测试服务.

该项目委托了2名ScienceSoft渗透测试人员组成的团队。渗透测试分为两个阶段:网络边界测试和公共Web应用程序测试。

为了在不影响时间和预算的情况下检查整个边界的安全状态,选择了一种组合的测试方法:前2-3周的现场工作,收集有关边界,公共服务,软件版本,潜在漏洞的信息;合作讨论和选择N个向量(例如IP地址)进行测试。在此阶段,客户网络的所有选定元素(根据攻击者的模型都是可以到达的)已包括在范围内。

使用“黑匣子”方法进行测试-仅知道公司名称和Web应用程序的URL。

公共Web应用程序的测试

选择了5个公共Web应用程序进行测试,包括商业网站,在线商店和客户的Web门户。在网站渗透测试期间,假定入侵者仅具有Internet访问权限。

网络外围测试

为此阶段选择了5个目标,包括域名服务器(DNS)和邮件服务器。在选定的攻击者模型中,使用了以下模型:入侵者可以访问Internet,GPRS / 3G数据服务等。

我们旨在至少检测以下漏洞:

  • 使用特殊控制协议可以控制多个网络设备的可能性
  • 使用默认管理员帐户访问系统
  • SQL注入敏感性
  • 可以获得管理特权并读取包含敏感数据的数据库的可能性
  • 容易受到自动蛮力攻击的系统
  • 容易受到拒绝服务攻击的系统
  • 使用社交工程攻击,欺骗,跨站点脚本编写等的其他风险较小的问题

渗透测试揭示了许多漏洞,这些漏洞对公司资产具有不同程度的风险。

除了所揭示的技术问题之外,渗透测试还有助于评估公司是否准备识别攻击并采取及时的安全措施以消除可能的负面影响。

结果

经过将近4个月的工作,ScienceSoft团队根据所检测到的系统漏洞对系统和业务的潜在危害程度,对其分类进行了技术描述。我们还提供了切实可行的建议,以消除已发现的安全问题,并提出了战略性安全措施,以长期保护公司资源。

客户在收到报告后立即开始实施建议并消除发现的问题。

技术与工具

Aircrack-ng,Acunetix Web漏洞扫描程序,Burp Suite,Immunity Debugger,Metasploit,Nmap,OpenVAS,Skipfish,slowhttptest,sqlmap,XSpider,w3af,Wfuzz,ZAProxy。

致电给我们,我们的代表将在30分钟内与您联系以安排初步讨论。