Виклик
Працюючи у високорегульованій фінансовій галузі, банк повинен був забезпечити повну безпеку всіх своїх онлайн-продуктів.
Серед викликів, з якими зіткнувся банк, найбільш значущими були:
- Сувора регуляторна відповідність. Діяльність у фінансовій галузі з високим рівнем регулювання вимагає 100% безпеки для всіх продуктів.
- Еволюція кіберзагроз. Банку потрібно було бути в курсі найновіших вразливостей та методів злому, а також мати власну команду кібербезпеки.
- Комплексна безпека продуктів. Забезпечення безпеки нової комплексної платформи для торгівлі цінними паперами стало викликом для більшості постачальників послуг з кібербезпеки.
- Захист конфіденційних даних. Вкрай важливо було захистити конфіденційні дані на новій платформі перед запуском.
- Виявлення вразливостей. Банку потрібен був постачальник з досвідом роботи з фінансовими веб-додатками для виявлення вразливостей безпеки.
Компанія шукала провайдера з досвідом роботи з фінансовими веб-додатками для проведення тестування на проникнення через GreyBox.
Метою проекту було знайти вразливості у веб-додатку, рекомендувати виправлення та оцінити його загальний рівень безпеки.
Рішення
Клієнт обрав метод тестування на проникнення Gray Box, тому надав команді FS Group облікові дані авторизованого користувача для тестування веб-додатку.
Тестування на проникнення для банку складалося з наступних етапів:
- Збір інформації від клієнта
- Встановлення цілей тестування
- Обговорення Правил Взаємодії
- Дослідження цілей
- Проведення автоматизованих перевірок
- Виконання ручних перевірок та аналіз результатів
- Дослідження виявлених вразливостей для визначення методів їхнього використання зловмисниками та розробки атакуючого програмного забезпечення
- Підготовка звіту та рекомендацій щодо усунення виявлених вразливостей.
Результат
- Виявлено 1 високу та 3 середні вразливості.
- FS Group запобігла потенційним фінансовим втратам у десятки мільйонів доларів (враховуючи особливості продукту та розмір банку), виявивши вразливість критичного рівня.
- Банк уникнув не лише значних фінансових втрат, але й репутаційних збитків, регуляторних штрафів та санкцій, а також втрати клієнтів.
- Було надано звіт з детальним оглядом усіх виявлених вразливостей та рекомендаціями щодо їх усунення.
Звіт складався з:
- Висновків результатів тестування
- Детального опису результатів тестування
- 2 додатків: виконаного пентесту та рекомендацій щодо усунення вразливостей
- Висновку і поточного статусу безпеки.
В результаті клієнт був задоволений роботою FS Group, і зараз компанії продовжують співпрацювати для забезпечення кібербезпеки клієнта.
це фінансова галузь.
банку, протестованому FS Group у 2023 році, зовнішні зловмисники могли отримати доступ до корпоративної локальної мережі.
