3.1. Сбор исходной информации

3.1.1. На этапе сбора исходной информации исполнителем должна быть получена информация о составе, наименованиях и версиях программных, программно-аппаратных средств, входящих в состав информационной системы, а также о сетевой инфраструктуре и сегментах информационной системы, пользователях информационной системы и иной информации, необходимой для проведения анализа уязвимостей.

3.1.2. В ходе сбора исходной информации исполнителем проводится:

а) инвентаризация сетевых адресов, портов, служб и сервисов, сетевых протоколов, внешних интерфейсов взаимодействия, находящихся на периметре информационной системы и информационно-телекоммуникационной инфраструктуры, на базе которой она функционирует, а также расположенных во внутренней инфраструктуре;

б) инвентаризация программных, программно-аппаратных средств, находящихся на периметре, а также во внутренней инфраструктуре информационной системы.

3.1.3. Для проведения сбора информации заказчик (оператор) представляет исполнителю перечни IP-адресов и (или) доменных имен программно-аппаратных средств, сервисов и приложений, находящихся на периметре информационной системы.

В случае отсутствия у заказчика (оператора) указанной информации исполнитель самостоятельно проводит сбор информации путем сканирования публичных сетевых адресов и портов с целью обнаружения доступных из сети "Интернет" сетевых служб, сервисов, доменных имен, интерфейсов программных, программно-аппаратных средств, находящихся на периметре информационной системы. Полученный путем сбора исполнителем перечень сетевых адресов, портов, сетевых служб, сервисов, доменных имен, интерфейсов согласуется с заказчиком (оператором) до начала проведения работ.

В случае выявления по результатам инвентаризации не используемых (не идентифицированных) сетевых адресов, служб и сервисов, доменных имен, исполнитель уведомляет об этом заказчика (оператора) информационной системы.

3.1.4. Инвентаризация программных, программно-аппаратных средств, находящихся на периметре информационной системы, проводится с целью определения наименований программного обеспечения и версий сетевых служб и сервисов, программных, программно-аппаратных средств, доступных из сети "Интернет", путем:

поиска в сети "Интернет" информации об IP-адресах и доменных именах, принадлежащих заказчику (обращение к сервисам типа WHOIS);

сканирования IP-адресов и доменных имен с использованием средств выявления уязвимостей, иных инструментальных средств в автоматизированном режиме;

интервьюирования специалистов заказчика (оператора), изучения проектной и эксплуатационной документации на информационную систему.

3.1.5. Инвентаризация программных, программно-аппаратных средств, входящих в состав внутренней инфраструктуры информационной системы, проводится исполнителем с целью определения IP-адресов, доменных имен, MAC-адресов устройств, входящих в состав информационной системы, наименований и версий установленного на них программного обеспечения путем:

сканирования внутренней инфраструктуры с использованием средств выявления уязвимостей, иных инструментальных средств в автоматизированном режиме;

анализа конфигурационной информации, содержащейся в контроллерах доменов, системах сбора и мониторинга событий безопасности и иных системах мониторинга информационной системы;

интервьюирования специалистов заказчика (оператора), изучения проектной и эксплуатационной документации на информационную систему.

3.1.6. По результатам сбора исходной информации формируются следующие исходные данные, необходимые для проведения внешнего и внутреннего сканирования в соответствии с настоящей Методикой:

а) состав и версии системного и прикладного программного обеспечения, средств защиты информации, а также сетевых служб и приложений;

б) наличие актуальных обновлений системного и прикладного программного обеспечения, средств защиты информации, а также сетевых служб и приложений;

в) архитектуру (карту) сети передачи данных информационной системы и ее сегментов (при наличии), включая перечень IP-адресов, доменных имен;

г) способы и технологии идентификации и аутентификации пользователей информационной системы, включая типы пользователей, учетные данные пользователей;

д) сведения о типовых конфигурациях системного и прикладного программного обеспечения, средств защиты информации, а также сетевых служб и приложений (при их наличии).

3.1.7. Перечень работ, проводимых на этапе сбора исходной информации, приведен в таблице 1.

Таблица 1

Знаком "+" отмечены необходимые работы для каждого из видов анализа. Знаком "-" отмечены работы, которые неприменимы для данного вида тестирования.