Пентестер. Риски при тестировании системы безопасности.

Продолжая разговор об информационной безопасности, хотелось бы поделиться хрестоматийным случаем, когда пентестеры едва не получили серьезные сроки.

Госорганизация в США обратилась в компанию с просьбой подготовить отчеты о проблемах физической и информационной безопасности. Одним из объектов «заказа» были здания судов, которые нужно было проверить на возможность проникновения. О проводимом испытании в суде знали только вице-президент компании, начальник службы безопасности, руководитель группы физической безопасности. Двое сотрудников компании очень ответственно подошли к задаче. Через систему вентиляции они получили доступ в здание и подслушали текущие пароли от серверных. Переодевшись в рабочих по зданию, они с успехом «взломали» несколько зданий судов. В одном из филиалов у них возникла неожиданная проблема. Бдительная работница финансовой службы обратила внимание на неизвестных, преградила им путь и вызвала полицию. Ситуацию спас только звонок начальнику СБ, который признался, что это пентестеры. Однако, основная драма развернулась год спустя во время повторного аудита. Во время очередного теста здания суда наши герои были пойманы местным шерифом, не поверившим в их рассказы. Шериф заявил, что они должны быть арестованы за кражу со взломом. Их допросили в разных комнатах, никакие документы, которые должны были их обезопасить, не сработали. Пентестеры оказались совершенно незащищенными – человек из секретного списка, который должен был разъяснить в суде ситуацию, не пришел. Два остальных контакта так и не ответили, а представители работодателя просто не успели ко времени судебного заседания. Судья не поверила ни единому слову, сказанному Гари. Более того, ее возмущало, что такие вещи, как пентестинг, вообще существуют, тем более в госучреждениях. Она назначила залог в 50 000 долларов, а впереди маячил срок в 7 лет.

Основная проблема была в том, что нанимателем компании был штат, а здание, куда вломились пентестеры, принадлежало округу.

Судебные заседания шли более года, но по итогу обвинения с пентестеров были сняты. Самое печальное для компании, что их сотрудники были широко растиражированы в СМИ и уже не могли так же эффективно выполнять задачи по тестированию систем безопасности.

#информационнаябезопасноть #пентес #системабезопасноти #пятничныйпост