Тендер на проведение аудита безопасности ИТ-инфраструктуры

Техническое задание на проведение аудита безопасности ИТ-инфраструктуры 1. Общая информация

Требуется провести аудит безопасности ИТ-инфраструктуры пяти тепличных комбинатов:

• ТКН — Тепличный комбинат Новосибирский;
• ТКТ — Тепличный комбинат Толмачевский;
• ТКЕ — Тепличный комбинат Емельяновский;
• ТКО — Тепличный комбинат Обской;
• ТКА — Тепличный комбинат Алтайский.

Комбинаты связаны между собой корпоративными каналами связи и используют общие информационные системы и сервисы.

В инфраструктуре используются Windows и Linux, системы виртуализации, 1С, СУБД, системы резервного копирования, сетевое оборудование и VPN.

Перечень сетей, внешних адресов, основных серверов и систем будет предоставлен перед началом работ.

Инвентаризация инфраструктуры в рамках аудита не требуется.

2. Цель аудита

Цель работ — выявить уязвимости, которые могут привести к получению несанкционированного доступа к корпоративным системам, серверам и данным.

В первую очередь требуется оценить:

• возможность проникновения во внутреннюю сеть с внешнего периметра;
• возможность повышения прав после получения доступа к рабочей станции или обычной пользовательской учётной записи;
• доступ к серверным сегментам;
• возможность перехода между сетями комбинатов;
• доступ к 1С и базам данных;
• доступ к системам резервного копирования;
• ошибки настройки серверного и сетевого оборудования, которые могут быть использованы при атаке.

Основной результат аудита должен показывать не только наличие отдельных уязвимостей, но и возможность их практического использования.

3. Внешний периметр

Проверить предоставленные Заказчиком внешние IP-адреса, доменные имена и опубликованные сервисы.

В ходе работ проверить открытые порты и сервисы, VPN, удалённый доступ, web-сервисы и доступные извне интерфейсы управления.

Отдельно обратить внимание на уязвимости, которые могут использоваться для получения доступа во внутреннюю сеть.

Результаты автоматического сканирования по критичным уязвимостям должны быть проверены специалистами Исполнителя.

4. Проверка из внутренней сети

Проверка проводится для каждого комбината.

Заказчик предоставляет подключение к пользовательской сети. При необходимости может быть предоставлена обычная доменная учётная запись без административных прав.

В ходе проверки требуется определить возможность:

• повышения прав;
• получения учётных данных других пользователей и администраторов;
• доступа к серверам и интерфейсам управления;
• доступа в другие сетевые сегменты;
• использования ошибок настройки сетевого доступа;
• доступа в сети других комбинатов;
• получения доступа к критичным корпоративным системам.

Полный отдельный аудит Active Directory не требуется. При этом проблемы доменной инфраструктуры, которые позволяют повысить права или получить доступ к другим системам, должны учитываться при проведении тестирования.

5. Серверная и сетевая инфраструктура

Проверка проводится выборочно по основным серверам и сетевым узлам.

Требуется проверить наиболее значимые с точки зрения безопасности настройки:

• доступ к серверным сетям из пользовательских сегментов;
• доступ к интерфейсам управления;
• используемые административные сервисы;
• сервисные и административные учётные записи;
• наличие критичных известных уязвимостей;
• сетевые ограничения между основными сегментами;
• доступ к системам виртуализации;
• возможность перехода между сетями разных комбинатов.

Проверка конфигурации каждого сервера, коммутатора или маршрутизатора не требуется.

Аудит Wi-Fi в состав работ не входит.

6. 1С, СУБД и резервное копирование

В рамках аудита проверить доступность основных серверов 1С и СУБД из различных сетевых сегментов, используемые сервисные учётные записи и возможность получения административного доступа к серверам или базам данных.

Аудит конфигураций 1С и программного кода не требуется.

По системам резервного копирования проверить:

• доступ к серверам и хранилищам резервных копий;
• административные учётные записи;
• возможность получения доступа к резервным копиям после компрометации основной инфраструктуры;
• возможность удаления или изменения резервных копий.

Проверка восстановления данных в состав работ не входит.

7. Ограничения

Работы не должны влиять на работу пользователей и производственных систем.

Без согласования с Заказчиком не допускаются:

• DoS и другие нагрузочные атаки;
• остановка служб;
• перезагрузка оборудования;
• изменение рабочих конфигураций;
• удаление или изменение данных;
• массовый подбор паролей;
• действия, способные привести к отказу оборудования или информационных систем;
• активное тестирование технологических сетей и АСУ ТП.

Если в ходе работ будет обнаружена критичная уязвимость, которая представляет непосредственную угрозу инфраструктуре, Исполнитель сообщает об этом Заказчику сразу после её подтверждения.

8. Результаты работ

По итогам аудита предоставить технический отчёт по всем пяти комбинатам.

В отчёте указать:

• выявленные уязвимости и ошибки настройки;
• затронутые системы;
• критичность;
• возможные последствия;
• подтверждение найденной проблемы;
• рекомендации по устранению.

Отдельно описать выявленные случаи, когда одна проблема позволяет получить доступ к другим системам или сетям.

В отчёте должно быть понятно:

• возможно ли получить административные права из обычной пользовательской сети;
• возможно ли получить доступ к серверной инфраструктуре;
• возможно ли перейти из сети одного комбината в другой;
• возможно ли получить доступ к 1С или СУБД;
• возможно ли получить доступ к системе резервного копирования.

Дополнительно предоставить краткую сводку основных проблем для руководства и перечень выявленных замечаний в Excel.

9. Организация работ

Основную часть работ предполагается проводить удалённо.

Выезд на объекты выполняется только при необходимости и по отдельному согласованию.

Перед предоставлением подробной информации об инфраструктуре и доступов подписывается соглашение о конфиденциальности.

В предложении Исполнителя должны быть указаны стоимость, срок проведения работ, состав специалистов и перечень требуемых исходных данных и доступов.

Предоставление предложений в электронном виде только через форму на сайте.

Предоставление всех файлов в одном архиве, размером не более 120 мегабайт.