Сканирование анонсов

Сканирование анонсов подразумевает подключение к определенному порту и последующее изучение информации, причем информацию предоставляет служба, работающая с этим портом. Сканирование анонсов лучше всего подходит для соединений TCP. В случае с UDP все несколько сложнее, так как необходимо подбирать соответствующий той или иной службе запрос. Стандартные файлы включены в пакет любого Web-сервера, и нередко бывает так, что их не удаляют и не переименовывают. Более того, эти файлы, как показывает статистика, часто содержат ошибки или инструкции, уязвимые для атаки. В частности, все дистрибутивы сервера IIS 4.0 включают программу showcode. asp, которая предназначена для отображения исходного текста asp-файлов. Любой хакер был бы счастлив получить такую возможность просмотра исходных текстов. Даже если вы используете высокоточную программу сканирования, преимущество ее заключается не в осуществлении атаки. Средства сканирования лишь позволяют определить с той или иной вероятностью, уязвима ли тестируемая система. Использовать обнаруженную брешь для осуществления атаки в любом случае придется самостоятельно. Прежде всего аудиторы должны предоставить свои резюме и рекомендации. Вы, со свой стороны, должны упомянуть в контракте об «исключении использования в собственных целях результатов тестов», а также определить границы того, что должно быть сделано, и того, чего делать не следует. Вы должны предварительно договориться о сроках и о том, что в случае продления этих сроков по объективной причине вас заранее оповестят. По результатам проверки вам должна быть предоставлена вся информация о тестах. Причем это подразумевает подробные данные обо всех атаках, удачных или не приведших ко взлому системы. Как бы там ни было, но при достаточных знаниях и опыте нет причин, по которым ваши специалисты не смогли бы выполнить обязательства, возлагаемые на внешних аудиторов. Также ничто не мешает потребовать от своих сотрудников должного документирования и регламентации работ. При проведении мероприятий аудита как собственными, так и сторонними силами будет правильно сначала воспользоваться внутренними ресурсами, чтобы справиться с несложными проблемами, и затем извлечь максимальную выгоду от привлечения наемной силы.