Pentest smart grid_2012_final

Активная диагностика безопасности систем Андрей Лысюк, Старший консультантДиректор по сертификациям

Security Innovation Forum, 11

Активная диагностика безопасности систем Smart GridАндрей Лысюк, CCIE, CISA, CISM, CISSP, ITILFСтарший консультант, Ernst & Young

сертификациям, ISACA Kyiv Chapter

Security Innovation Forum, 11 Апреля 2012

Активная диагностика безопасности систем Стр. 2

Содержание

1. Архитектура систем Smart Grid2. Общие подходы к активной диагностике безопасности (тестам

на проникновение)3. Анализ систем Smart Grid

A. Компьютерная сеть систем Smart GridB. Интеллектуальные измерительные системыC. Приложения

4. Методы социальной инженерии5. Заключение

Активная диагностика безопасности систем Smart Grid

Smart GridОбщие подходы к активной диагностике безопасности (тестам

Smart GridИнтеллектуальные измерительные системы

Методы социальной инженерии


1. АРХИТЕКТУРА СИСТЕМ GRID


АРХИТЕКТУРА СИСТЕМ SMART


Системы Smart Grid


► Smart Grid –автоматизированная сеть генерации, передачи и потребления электроэнергии

► Компоненты Smart Gridсобирают, передают и обрабатывают информацию об участниках сети

► Эта информация используется для принятия оператором или самой системой решений по управлению компонентами энергетической сети



► Системы Smart Grid используются для повышения эффективности генерирования, передачи и потребления электроэнергии на основе информации о поведении потребителей и поставщиков

► Одна из главных целей систем надежности и безотказности работы систем

► Начало развитию концепции Smart Grid крупных системных аварий на территории страны

► Технологическая база систем Smart Grid ► Автоматический учет энергоресурсов► Автоматизацию распределительных сетей► Управление и мониторинг состояния электротехнического оборудования


используются для повышения эффективности генерирования, передачи и потребления электроэнергии на основе информации о поведении

Одна из главных целей систем Smart Grid – повышение надежности и безотказности работы систем

Smart Grid в США положил ряд крупных системных аварий на территории страны

Smart Grid включает:Автоматический учет энергоресурсовАвтоматизацию распределительных сетейУправление и мониторинг состояния электротехнического оборудования



► Системы Smart Grid увеличивают контролируемость и улучшают обратную связь для всех точек генерации, передачи и потребления электроэнергии, позволяют вводить новые сервисы (например, тарификацию в зависимости от времени потребления)

► Многие мировые компании энергетического сектора считают выгоды от использования систем больше стоимости внедрения и планируют или выполняют переходы на эти системы

► Системы управления предприятием (System) для энергетического сектора фокусируются на интеграции интеллектуальной измерительной инфраструктуры (AMI – Advanced Metering Infrastructureбазе IP (Internet Protocol)


увеличивают контролируемость и улучшают обратную связь для всех точек генерации, передачи и потребления электроэнергии, позволяют вводить новые сервисы (например, тарификацию в зависимости от времени

Многие мировые компании энергетического сектора считают выгоды от использования систем больше стоимости внедрения и планируют или выполняют переходы на эти системы Системы управления предприятием (ICS – Industrial Control

) для энергетического сектора фокусируются на интеграции интеллектуальной измерительной инфраструктуры

Advanced Metering Infrastructure) и переходе на сети на


Анализ безопасности систем

► Развитие систем сдерживает неуверенность в стабильности технологий на фоне повышенных ожиданий по доступности

► Этот фактор может быть уменьшен путем расширенного тестирования, анализа технологии и архитектуры, проведения диагностики безопасности

► Диагностика безопасности необходима для оценки защищенности системы от различных угроз и атак и должна выполнятся с учетом основных типов угроз

► Анализ безопасности включает анализ:► Сетевой архитектуры► Потоков данных► Удаленного доступа► Интеллектуальной измерительной инфраструктуры► Приложений


Анализ безопасности систем Smart Grid

Развитие систем сдерживает неуверенность в стабильности технологий на фоне повышенных ожиданий по доступностиЭтот фактор может быть уменьшен путем расширенного тестирования, анализа технологии и архитектуры, проведения

Диагностика безопасности необходима для оценки защищенности системы от различных угроз и атак и должна выполнятся с учетом основных типов угрозАнализ безопасности включает анализ:

Интеллектуальной измерительной инфраструктуры


2. ОБЩИЕ ПОДХОДЫ К АКТИВНОЙ ДИАГНОСТИКЕ БЕЗОПАСНОСТИ (ТЕСТАМ НА ПРОНИКНОВЕНИЕ)


ОБЩИЕ ПОДХОДЫ К АКТИВНОЙ ДИАГНОСТИКЕ БЕЗОПАСНОСТИ (ТЕСТАМ НА ПРОНИКНОВЕНИЕ)


Особенности среды Smart Grid

► Отличие приоритетов в атрибутах безопасности. Доступность важнее конфиденциальности

► Повышенный контроль выполнения проекта, особое внимание к возможным DoS эффектам (прямым или непрямым)

► Приоритет «совместному анализу конфигураций» по сравнению с активным действиями

► Тесное общение между командой, выполняющей активную диагностику и персоналом клиента (инженеры, менеджеры безопасности)

► В остальных моментах подходы к активной диагностике безопасности систем Smart Gridактивной диагностике безопасности для бизнес приложений


Smart Grid

Отличие приоритетов в атрибутах безопасности. Доступность

Повышенный контроль выполнения проекта, особое внимание к эффектам (прямым или непрямым)

Приоритет «совместному анализу конфигураций» по сравнению

Тесное общение между командой, выполняющей активную диагностику и персоналом клиента (инженеры, менеджеры

В остальных моментах подходы к активной диагностике Smart Grid аналогичны подходам к

активной диагностике безопасности для бизнес приложений


Общие правила к проектам активной диагностики безопасности (тестам на проникновение)

► Тесное взаимодействие с инженерами систем ► Однозначное определение и утверждение объема тестирования: перечень подсетей, систем, приложений, исключений

► Установка протоколов общения► Предоставление контактной информации► Регулярные встречи (телефонные конференции) по статусу выполнения проекта


Общие правила к проектам активной диагностики безопасности (тестам на проникновение)

Тесное взаимодействие с инженерами систем ICSОднозначное определение и утверждение объема тестирования: перечень подсетей, систем, приложений,

Установка протоколов общенияПредоставление контактной информацииРегулярные встречи (телефонные конференции) по статусу


Определение цели тестирования

► Возможные цели тестирования:► Получить представление о возможных атаках► Тщательно проанализировать существующие уязвимости► Оценить насколько вероятна компрометация► Входящая информация для оценки рисков

► Ожидаемые результаты тестов определяют методы► Общие подходы к проведению тестов на проникновение

► Black-box► Grey-box► White box

► «Слепой метод»► Методики «маскировки» атак► Выборка систем


Определение цели тестирования

Возможные цели тестирования:Получить представление о возможных атакахТщательно проанализировать существующие уязвимостиОценить насколько вероятна компрометацияВходящая информация для оценки рисков

Ожидаемые результаты тестов определяют методыОбщие подходы к проведению тестов на проникновение


Обнаружение (discovery)

► Тестирование начинается с обнаружения объектов тестирования и определения атрибутов объектов

► Цель фазы обнаружения – определения основных технологий, сетевой архитектуры, приложений, версий сервисов, уязвимостей

► Чаще всего для обнаружения используются сетевые сканеры► Сканирование критичных систем может повлиять на доступность► Лучше не использовать сканирование с установкой

TCP handshake)► Сканирование может вызвать загрузку процессорных ресурсов объекта

► Снифферы (перехватчики) трафика могут использоваться как альтернатива сканерам (пример

► Сбор информации по Web-приложениямавтоматизированный методы)


Тестирование начинается с обнаружения объектов тестирования и определения атрибутов объектов

определения основных технологий, сетевой архитектуры, приложений, версий сервисов,

Чаще всего для обнаружения используются сетевые сканерыСканирование критичных систем может повлиять на доступностьЛучше не использовать сканирование с установкой TCP соединений (full

Сканирование может вызвать загрузку процессорных ресурсов объекта

(перехватчики) трафика могут использоваться как альтернатива сканерам (пример – сканер Sophia)

приложениям (ручной и


Идентификация уязвимостей

► Ручные проверки► Автоматизированное тестирование

► Сканеры уязвимостей► Сканеры определенных сервисов

► Сопоставление отклика объекта тестирования с базой «цифровых отпечатков» различных систем► Явное присутствие информации о версии сервиса в отклике► Реакция на набор сформированных определенным образом пакетов

► Пассивный перехват трафика ► Позволяет выявить определенные уязвимости, например, проблемы с

шифрованием► Предпочтителен для систем, где использование активных сканеров

представляет большой риск

► Комбинация тестирования с экспертным анализом


Идентификация уязвимостей

Автоматизированное тестирование

Сопоставление отклика объекта тестирования с базой «цифровых отпечатков» различных систем

Явное присутствие информации о версии сервиса в откликеРеакция на набор сформированных определенным образом пакетов

Позволяет выявить определенные уязвимости, например, проблемы с

Предпочтителен для систем, где использование активных сканеров

Комбинация тестирования с экспертным анализом


Работа с критичными системами

► Использование тестовой среды► Среда, идентичная продуктивной► Репликация отдельных элементов системы (программных модулей,

устройств) в тестовой среде

► Безопасная идентификация цели► Обсуждение деталей тестирования и возможных последствий► Пересмотр объема тестирования► Упражнение по оценке уязвимостей путем дискуссий (

exercise)► Подтверждение уязвимости► Определение потенциального ущерба► Анализ механизмов устранения уязвимости


Работа с критичными системами

Использование тестовой среды

Репликация отдельных элементов системы (программных модулей,

Безопасная идентификация целиОбсуждение деталей тестирования и возможных последствийПересмотр объема тестированияУпражнение по оценке уязвимостей путем дискуссий (table top

Определение потенциального ущербаАнализ механизмов устранения уязвимости


Эксплуатация уязвимостей

► Найденные уязвимости необходимо проверить► Эксплуатация уязвимостей может отличаться по степени риска

► Выполнение команд в рамках нормальной работы сервиса представляет меньший риск для систем

► Выполнение действий за пределами нормальной работы сервиса (переполнение буфера, вызов отказа в обслуживании) несет в себе больший риск для систем. Необходимо взвесить выгоду от выполнения теста с возможным ущербом

► Эксплуатация на тестовой среде► Использование анализа версий и установленных обновлений для проверки уязвимостей


Эксплуатация уязвимостей

Найденные уязвимости необходимо проверитьЭксплуатация уязвимостей может отличаться по степени риска

Выполнение команд в рамках нормальной работы сервиса представляет

Выполнение действий за пределами нормальной работы сервиса (переполнение буфера, вызов отказа в обслуживании) несет в себе больший риск для систем. Необходимо взвесить выгоду от выполнения

Эксплуатация на тестовой средеИспользование анализа версий и установленных обновлений


Эскалация привилегий

► Оценка возможности получить дополнительный доступ► Первоначальная компрометация наименее защищенных систем► Использование скомпрометированных систем как промежуточных площадок для дальнейшего возможного доступа

► Оценка архитектуры безопасности компьютерной сети► Выполнение повторных итераций тестирования► Системы управления энергетическими компаниями разрабатываются с фокусом на доступность и отказоустойчивость. При этом вопросы контроля привилегий отодвигаются на второй план


Оценка возможности получить дополнительный доступПервоначальная компрометация наименее защищенных системИспользование скомпрометированных систем как промежуточных площадок для дальнейшего возможного

Оценка архитектуры безопасности компьютерной сетиВыполнение повторных итераций тестированияСистемы управления энергетическими компаниями разрабатываются с фокусом на доступность и отказоустойчивость. При этом вопросы контроля привилегий


Основные категории уязвимостей

► Неправильная обработка входов► Ошибки в коде и конфигурации программных модулей► Недостатки аутентификации► Недостатки в управлении привилегиями и правами доступа► Недостатки проверки аутентичности данных► Управление ключами► Недостатки шифрования► Мониторинг действий и событий► Недостатки архитектуры и конфигурации компьютерной сети► Излишние разрешения в правилах межсетевых экранов


Основные категории уязвимостей

Неправильная обработка входовОшибки в коде и конфигурации программных модулей

Недостатки в управлении привилегиями и правами доступаНедостатки проверки аутентичности данных

Мониторинг действий и событийНедостатки архитектуры и конфигурации компьютерной сетиИзлишние разрешения в правилах межсетевых экранов


3. АНАЛИЗ СИСТЕМ


АНАЛИЗ СИСТЕМ SMART GRID


3. АНАЛИЗ СИСТЕМ A. Сетевая архитектура




Сетевая архитектура Smart Grid

Операционная сеть Подстанция

Wide Area Network (WAN)

Межсетевой экран

Корпоративная сеть

Магистральная сеть

Подстанция

HMIСервер

реального времени

Historian Operator console


Smart Grid

Подстанция Home Area Network (HAN)

Home Area Network (HAN)

Neighborhood area network

(NAN)Магистральная

Подстанция

Operator console IED RTU


Особенности традиционной сетевой архитектуры Smart Grid

► Географическая удаленность элементов► Традиционно использовались закрытые протоколы► Различные производители аппаратных и программных компонент

► Отклонение от основных принципов построение сетей:► Масштабируемость► Открытость► Взаимодействие оборудования различных производителе

► Сложности в определении требований информационной безопасности и внедрении контролей► Отсутствие стандартизации► Сложные условия эксплуатации

► Сегменты сети могут быть физически разделены


Особенности традиционной сетевой архитектуры

Географическая удаленность элементовТрадиционно использовались закрытые протоколыРазличные производители аппаратных и программных

Отклонение от основных принципов построение сетей:

Взаимодействие оборудования различных производителе

Сложности в определении требований информационной безопасности и внедрении контролей

Сегменты сети могут быть физически разделены


Интеграция с ИТ сетями

► Переход на Smart Grid требует увеличения интеграции► Объединение сегмента ICS (операционная сеть) и корпоративной сети

► Традиционные протоколы в системах Control and Data Acquisition) замещаются или туннелируются через IP► Modbus TCP/IP► DNP3 over IP

► Новые уязвимости, которые не характерны для серийных протоколов► Перехват и анализ DNP3 over IP пакета► Модификация и повторная передача захваченного


требует увеличения интеграцииоперационная сеть) и

Традиционные протоколы в системах SCADА (Supervisory замещаются или туннелируются

Новые уязвимости, которые не характерны для серийных

пакетапередача захваченного пакета


Периметр

► Периметр представляет первый эшелон защиты► Ошибочно считается, что операционная сеть отделена от остальных сегментов

► Управление IED (Intelligent Electronic Devices) нескольких точек (центров управления)

► Wide Area Network используется для подключения удаленных точек. Недостатки в конфигурации межсетевых экранов приводят к возможным атакам со стороны


Периметр представляет первый эшелон защитыОшибочно считается, что операционная сеть отделена от

IED (Intelligent Electronic Devices) требуется из нескольких точек (центров управления)

используется для подключения удаленных точек. Недостатки в конфигурации межсетевых экранов приводят к возможным атакам со стороны Wide Area Network


Возможные недостатки архитектуры сети

► Часто протоколы работы, например протокол Center Communications Protocol), и шифрования. Возможность передать команду из неавторизованного контрольного центра

► Использование Wi-Fi с небезопасными параметрами для подключения компонент Smart Grid

► Уязвимости в программном обеспечении удаленного доступа, которое используется для доступа вендоров

► Недостатки QoS и определения приоритета для трафика управления


Возможные недостатки архитектуры сети

Часто протоколы работы, например протокол ICCP (Inter-Control Center Communications Protocol), не используют аутентификации и шифрования. Возможность передать команду из неавторизованного контрольного центра

с небезопасными параметрами для Smart Grid сети

Уязвимости в программном обеспечении удаленного доступа, которое используется для доступа вендоров

и определения приоритета для трафика


Сегментация сети

► Корпоративная сеть► Размытие границ► Доступ администраторов ICS в операционную сеть► Рабочие станции администраторов ► Взаимодействие с рынком (например

Information-System)

► Операционная сеть► SCADA► Исторические данные► Требования к надежности и доступности

► Магистральная сеть► Общение между подстанциями и контрольным центром

► NAN – Neighborhood area networks► Сети для поддержки интеллектуальных измерительных систем


в операционную сетьРабочие станции администраторов – основная цельВзаимодействие с рынком (например OASIS – Open-Access-Sametime-

Требования к надежности и доступности

Общение между подстанциями и контрольным центром

Neighborhood area networksСети для поддержки интеллектуальных измерительных систем


3. АНАЛИЗ СИСТЕМ B. Интеллектуальные измерительные системы


АНАЛИЗ СИСТЕМ SMART GRIDИнтеллектуальные измерительные системы


Интеллектуальные измерительные системы

► Интеллектуальные измерительные системыдополнительной движущей силой перехода на стандартизации

► Двусторонняя связь► Дополнительные преимущества для производителей и потребителей:► Тарификация в зависимости от времени потребления► Управление восстановлением после сбоев

► Смещение парадигмы и интеграция операционной сети и корпоративной сети


Интеллектуальные измерительные системы

Интеллектуальные измерительные системы являются дополнительной движущей силой перехода на IP сети и

Дополнительные преимущества для производителей и

Тарификация в зависимости от времени потребленияУправление восстановлением после сбоев

Смещение парадигмы и интеграция операционной сети и


Угрозы и недостатки интеллектуальных измерительных систем

► Расположение на территории потребителей► Полезный срок использования измерителей десятилетий. Измеритель может долго находится у потенциального злоумышленника, который будет выполнять обратный инжиниринг

► Архитектура измерителей разрабатывалась без учета вопросов безопасности

► Возможность несанкционированного подключения по протоколам удаленного доступа

► Подверженность зловредному коду► Результаты атак – сбои в работе электросетей или мошенничество с отчетами потребления


Угрозы и недостатки интеллектуальных

Расположение на территории потребителейПолезный срок использования измерителей – несколько десятилетий. Измеритель может долго находится у потенциального злоумышленника, который будет выполнять

Архитектура измерителей разрабатывалась без учета вопросов

Возможность несанкционированного подключения по протоколам удаленного доступаПодверженность зловредному коду

сбои в работе электросетей или мошенничество с отчетами потребления


Активная диагностика безопасности интеллектуальных измерительных систем

► Предотвращение вскрытия устройства► Препятствие вскрытию (например, стирание памяти при вскрытии)► Обнаружение вскрытия (например, печати)► Предположение, что устройство будет физический скомпрометировано

► Расположение на территории клиента► Длительный срок эксплуатации

► Анализ конфигурации► Анализ интерфейсов

► Наличие внешнего физического интерфейса для управления► Протоколы передачи данных► Подключение специализированной аппаратной части



Предотвращение вскрытия устройстваПрепятствие вскрытию (например, стирание памяти при вскрытии)Обнаружение вскрытия (например, печати)Предположение, что устройство будет физический скомпрометировано

Расположение на территории клиента

Наличие внешнего физического интерфейса для управления

Подключение специализированной аппаратной части



► Анализ шины данных► Анализ пульсов, кодирующих данные► Анализ шифрования данных

► Анализ микроконтроллера► «Clock glitching»► «Power glitching»

► Анализ ПЗУ (EPROM – erasable programmable read► Конфигурация► Операционная система► Ключи шифрования



Анализ пульсов, кодирующих данные

erasable programmable read-only memory)


3. АНАЛИЗ СИСТЕМ С. Приложения




Приложения ICS систем

► Приложения вендоров ICS систем закрыты по своей природе► Неширокое использование увеличивает вероятность присутствия уязвимостей

► Могут использоваться злоумышленниками для обратного инжиниринга

► Атаки на приложения ICS систем могут потенциально принести большую выгоду для злоумышленников. Как следствиересурсы, которые выделяются злоумышленниками для анализа относительно большие

► СERT (Computer Emergency Response Team) CERT для ответственного раскрытия информации об уязвимостях


систем закрыты по своей природеНеширокое использование увеличивает вероятность

Могут использоваться злоумышленниками для обратного

систем могут потенциально принести большую выгоду для злоумышленников. Как следствие,ресурсы, которые выделяются злоумышленниками для анализа

ERT (Computer Emergency Response Team) создал орган ICS-для ответственного раскрытия информации об


Анализ конфигурации приложения

► Шифрование► Поддержка протоколов взаимодействия► Использование механизмов аутентификации► Настройки по умолчанию► Пароли

► Пароли по умолчанию► Пароли, которые внесены в код системы► Зловредное ПО, нацеленное на системы

код системы пароли (например Stuxnet)


Анализ конфигурации приложения

Поддержка протоколов взаимодействияИспользование механизмов аутентификации

Пароли, которые внесены в код системыЗловредное ПО, нацеленное на системы SCADA использует внесенные в

Stuxnet)


Сервисы и протоколы

► Изначально использовались закрытые протоколы вендоров► Миграция на IP требует стандартизации протоколов► Внедрение Web технологий в среду

► OPC UA (OPC Unified Architecture)► Microsoft COM (Component Object Model)► SOA (Service Oriented Architecture)► Платформа Microsoft .NET► Поддержка Java для кросс-платформенного внедрения


Изначально использовались закрытые протоколы вендоровтребует стандартизации протоколовтехнологий в среду ICS

Microsoft COM (Component Object Model)

платформенного внедрения


Подходы к диагностике приложений

► Black-box► Выполняется только на работающем коде► Отсутствие первоначальной информации о системе► Проверка обходных путей аутентификации и авторизации► Манипуляция вводом полей► Анализ функциональности

► White-box► Глубокий анализ внутренней работы приложения► Анализ шифрования► Анализ аутентификации и контролей доступа► Анализ работы кода не выполняется

► Grey-box► Комбинация первых двух подходов► Наиболее эффективный подход


Подходы к диагностике приложений

Выполняется только на работающем кодеОтсутствие первоначальной информации о системеПроверка обходных путей аутентификации и авторизации

Глубокий анализ внутренней работы приложения

Анализ аутентификации и контролей доступаАнализ работы кода не выполняется

Комбинация первых двух подходов


4. МЕТОДЫ СОЦИАЛЬНОЙ ИНЖЕНЕРИИ


МЕТОДЫ СОЦИАЛЬНОЙ



► Социальная инженерия является искусством влияния на людей с целью убедить людей:► Предоставить конфиденциальную информацию► Выполнить неавторизованные действия► Предоставить неавторизованный доступ

► Влияние на людей выполняется путем► Обмана► Насилия► Запугивания► Жалости

► Включение методов социальной инженерии в активную диагностику безопасности систем позволяет:► Выявить недостатки в административных мерах► Применять методы, которые более полно отображают спектр действий,

выполняемых потенциальными злоумышленникамиАктивная диагностика безопасности систем Smart Grid


Социальная инженерия является искусством влияния на людей

Предоставить конфиденциальную информациюВыполнить неавторизованные действияПредоставить неавторизованный доступ

Влияние на людей выполняется путем

Включение методов социальной инженерии в активную диагностику безопасности систем позволяет:

Выявить недостатки в административных мерахПрименять методы, которые более полно отображают спектр действий, выполняемых потенциальными злоумышленниками



► Фишинг► Целевая аудитория наиболее широкая (например, все сотрудники

компании)► Возможная атака на субконтракторов► Использование технических уязвимостей для эскалации привилегий

► «Spear phishing» - целевая аудитория более узкая► Администраторы ICS► Доступ к критичным системам► Беспокойство по поводу доступности систем

► Физический доступ► Энергетические компании фокусируются на вопросах безопасности

жизнедеятельности, а не информационной безопасности

► Портативные медиа-носители► Несколько методов (утерянный носитель, приз)



Целевая аудитория наиболее широкая (например, все сотрудники

Возможная атака на субконтракторовИспользование технических уязвимостей для эскалации привилегий

целевая аудитория более узкая

Беспокойство по поводу доступности систем

Энергетические компании фокусируются на вопросах безопасности жизнедеятельности, а не информационной безопасности

Несколько методов (утерянный носитель, приз)


5. ЗАКЛЮЧЕНИЕ



Заключение

► Интеграция операционных сетей с корпоративной сетью в системах Smart Grid устраняет традиционную физическую границу и выдвигает новые требования к информационной безопасности

► Активная диагностика информационной безопасности позволяет выявить недостатки контролей и помочь с оценкой рисков в системах Smart Grid для целей определения приоритета выделения ресурсов


Интеграция операционных сетей с корпоративной сетью в устраняет традиционную физическую

границу и выдвигает новые требования к информационной

информационной безопасности позволяет выявить недостатки контролей и помочь с оценкой

для целей определения приоритета выделения ресурсов


Основные соображения при проведении тестов

► Определение целей теста и желаемых результатов► Определение наиболее вероятных угроз► Анализ доступа к системам► Определение ключевых людей для выполнения теста► Определения плана по коммуникациям► Выбор системы для тестирования: продуктивная или тестовая► Предоставление начальной информации тестерам


Основные соображения при проведении тестов

Определение целей теста и желаемых результатовОпределение наиболее вероятных угроз

Определение ключевых людей для выполнения тестаОпределения плана по коммуникациямВыбор системы для тестирования: продуктивная или тестоваяПредоставление начальной информации тестерам


Вопросы?


Вопросы?

Technology

Pentest smart grid_2012_final