ПРИМЕНЕНИЕ СТАНДАРТА PTES ДЛЯ ПОВЫШЕНИЯ УРОВНЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИЙ

Наукосфера. №9 (1), 2025 Информационные технологии ISSN 2542-0402 1 http://nauko-sfera.ru/ ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ УДК 004.056.5 DOI 10.5281/zenodo.17098457 Научная статья ПРИМЕНЕНИЕ СТАНДАРТА PTES ДЛЯ ПОВЫШЕНИЯ УРОВНЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИЙ THE USE OF THE PTES STANDARD TO ENHANCE THE INFORMATION SECURITY OF ORGANIZATIONS АБРЕГОВА ЗАЛИНА АЙТЕЧЕВНА, Тольяттинский государственный университет. ABREGOVA ZALINA AITECHEVNA, Tolyatti State University. Научный руководитель: Аникина Оксана Владимировна, кандидат технических наук, доцент, Тольяттинский государственный университет. Scientific supervisor: Anikina Oksana Vladimirovna, candidate of Technical Sciences, Associate Professor, Tolyatti State University. В статье рассматриваются вопросы обеспечения информационной безопасности организаций посредством применения международного стандарта Penetration Testing Execution Standard (PTES) для улучшения системы защиты корпоративных сетей и ИТ-инфраструктур. Рассмотрены сферы применения и основные этапы тестирования на проникновение, предусмотренные стандартом. Практический пример иллюстрирует, как применение стандарта обеспечило возможность выявления и систематизации уязвимостей в сетевой инфраструктуре российской компании. Полученные эмпирические данные доказывают целесообразность и высокую эффективность PTES в своевременном обнаружении уязвимостей и снижении потенциальных рисков. Сделан вывод о необходимости регулярного проведения аудитов безопасности для устойчивого функционирования цифровой среды организаций. The article discusses the issues of ensuring the information security of organizations through the application of the international standard Penetration Testing Execution Standard (PTES) to improve the protection of corporate networks and IT infrastructures. The scope of application and the main stages of penetration testing provided by the standard are considered. A practical example illustrates how the application of the standard has made it possible to identify and systematize vulnerabilities in the network infrastructure of a Russian company. The empirical data obtained proves the expediency and high efficiency of PTES in timely detection of vulnerabilities and reduction of potential risks. It is concluded that regular security audits are necessary for the sustainable functioning of the digital environment of organizations. Наукосфера. №9 (1), 2025 Информационные технологии ISSN 2542-0402 2 http://nauko-sfera.ru/ Ключевые слова: информационная безопасность, стандарт PTES, аудит, тестирование на проникновение, уязвимости ИТ-инфраструктуры, корпоративные сети. Key words: information security, the PTES standard, audit, penetration testing, IT infrastructure vulnerabilities, corporate networks. ведение. Современные организации функционируют в динамично меняющейся информационной среде, характеризующейся расширением спектра атакующих воздействий на цифровые активы организаций. Проблема обеспечения информационной безопасности становится одной из важнейших стратегических задач, поскольку нарушение конфиденциальности, целостности и доступности данных ведёт к значительным финансовым потерям, утрате конкурентоспособности и ущербу деловой репутации компании. «Текущая ситуация в сфере информационной безопасности явно указывает на то, что организациям необходимо постоянно повышать свой уровень защищенности, как от внешних, так и от внутренних угроз» [2, с. 41]. Цель настоящей статьи заключается в рассмотрении возможностей применения стандарта PTES для повышения уровня информационной безопасности российских организаций. Актуальность исследования заключается в том, что интенсивное развитие информационно-коммуникационных технологий существенно повышает уровень потенциальных угроз информационной безопасности. Появление новых технологических решений влечет за собой возникновение ранее неизвестных уязвимостей, создающих благоприятные условия для осуществления целенаправленных кибератак. «Целевая атака как адресное, скрытное, четко спланированное, продолжительное, использующее различные инструменты и методы, управляемое воздействие является одним из ключевых элементов современных киберпреступлений» [4, с. 39]. Стандарт PTES представляет собой набор рекомендаций и методов, используемых для выявления уязвимостей ИТ-инфраструктуры организации при проведении тестирования на проникновение путём моделирования реальных атак. Применение данного стандарта позволяет существенно снизить вероятность успешных хакерских атак и минимизировать последствия потенциальных инцидентов безопасности. Несмотря на неоспоримые достоинства стандарта PTES, практика обнаруживает целый ряд трудностей, препятствующих его применению. Среди них – дефицит квалифицированных кадров, способных не только понимать теоретические основы тестирования на проникновение, но и применять их на практике в условиях постоянно меняющегося ландшафта киберугроз. Недостаточно просто знать методологии, необходимо обладать опытом и интуицией, позволяющими выявлять уязвимости, которые не всегда очевидны при формальном следовании инструкциям. Другой существенной проблемой является высокая стоимость проведения полноценного тестирования, особенно в соответствии со стандартом PTES, подразумевающим глубокое и всестороннее исследование. Это создает барьер для малых и средних предприятий, бюджет которых ограничен и которые вынуждены искать более доступные, но часто менее эффективные альтернативы. Обзор литературы. Научные исследования в области информационной безопасности активно развиваются как в нашей стране, так и за рубежом. Однако, несмотря на разнообразие работ, посвященных проблемам информационной безопасности, число публикаций, непосредственно касающихся практики применения стандартов тестирования на проникновение, остаётся ограниченным. Сравнительный анализ существующих зарубежных и отечественных методик и стандартов тестирования на проникновение проведен в статье С.И. Макаренко и Г.Е. Смирнова [7]. В публикации В.Г. Ерышова, К.А. Ларионец рассматривается процесс тестирования на В Наукосфера. №9 (1), 2025 Информационные технологии ISSN 2542-0402 3 http://nauko-sfera.ru/ проникновение в информационные системы, основные методики, этапы и инструменты тестирования [1]. Сравнительный анализ методик и стандартов тестирования на проникновение безопасности систем, сетей и веб-приложений представлен в статье А.Б. Шукенбаевой, К.Р. Зиатдиновой, Н.Ш. Шукенбаевой [9], Н.С. Козырь [3], И.И. Лившица, А.С. Бакшеева [5]. Авторы рассмотрели следующие подходы: методика тестирования безопасности веб-приложений OWASP, техническое руководство по тестированию и оценке информационной безопасности NIST SP 800-115, стандарт выполнения тестирования на проникновение PTES, методика оценки безопасности информационных систем ISSAF, методология тестирования безопасности с открытым исходным кодом ОSSTMM, методология изучения модели тестирования на проникновение BSI. Теоретическая и методологическая база исследования. Одним из эффективных методов обнаружения уязвимостей информационной безопасности является проведение тестирования на проникновение, при котором применяются различные методики и стандарты [8]. Основная цель тестирования на проникновение – оценка защищенности компьютерных систем, сетей и приложений организации путём симуляции реальных атак [10], что помогает выявить возможные уязвимости инфраструктуры до того, как злоумышленники смогут ими воспользоваться. «В международной практике, проведение тестов на проникновение регламентируется стандартами и методиками, которые регламентируют этапы тестирования, порядок испытаний тестируемых объектов, порядок взаимодействия аудитора с заказчиком и т. д.» [7, с. 49]. К зарубежным стандартам и методикам тестирования на проникновение относят, например, OSSTMM, ISSAF, OWASP, PTES, NIST SP 800-115, BSI, PETA, RTF [6]. «Стандарт PTES – это методическое руководство для проведения тестирования на проникновение, охватывающее весь цикл выполнения проверки информационных систем» [1, с. 83]. Проведение тестирования в соответствии со стандартом PTES позволяет оценить реальную степень готовности системы к отражению внешних и внутренних угроз, обеспечивая комплексный подход к защите конфиденциальных данных и критически важных активов предприятия. Методологическую основу настоящего исследования составили следующие подходы: 1. Теоретический анализ литературы, включающий изучение специализированных публикаций и научных статей, посвященных применению PTES и практике организации тестов на проникновение. 2. Эмпирическое тестирование, включающее организацию пробного исследования ИТинфраструктуры организации при проведении аудита информационной безопасности с использованием процедур, рекомендованных стандартом PTES. Описание и область применения стандарта. Основная задача PTES – помочь специалистам по информационной безопасности качественно спланировать, реализовать и представить результаты теста на проникновение таким образом, чтобы обнаружить потенциальные уязвимости и дать конкретные рекомендации по их устранению. Сфера применения стандарта PTES представлена в таблице 1. Таблица 1. Сфера применения стандарта PTES Категория применения Примеры Информационные системы Корпоративные сети, облачные платформы, webсервисы, мобильные приложения Бизнес-процессы CRM-системы, ERP-решения, системы бухгалтерского учета, электронная коммерция Внутренняя инфраструктура Локальные вычислительные сети, сервера, почтовые службы, VPN-подключения Наукосфера. №9 (1), 2025 Информационные технологии ISSN 2542-0402 4 http://nauko-sfera.ru/ Управление репутационным риском Минимизация негативного информационного фона вокруг компании в результате инцидентов информационной безопасности Планирование инвестиций в ИБ Оптимальное распределение бюджета на усиление мер информационной безопасности Рассмотренные в таблице 1 категории отражают разнообразие сфер применения стандарта PTES, охватывающего практически все стороны деятельности современной организации, нуждающиеся в регулярной проверке для защиты от киберугроз. Процесс тестирования на проникновение с применением стандарта PTES включает в себя семь основных этапов, каждый из которых играет важную роль в проведении тестирования (URL: http://www.pentest-standard.org/index.php/Main_Page) (таблица 2). Таблица 2. Этапы тестирования на проникновение Этапы тестирования Описание Pre-Engagament (Предварительные переговоры) Начальный этап, посвященный взаимодействию заказчика услуги тестирования и исполнителя. Здесь оговариваются объем работ, сроки исполнения, условия контракта, юридические обязательства обеих сторон и ограничения тестирования (например, разрешенные способы атаки). Важно зафиксировать договоренности документально, поскольку впоследствии они станут основой легитимности проводимых операций. Itelligence Gathering (Сбор информации) Следующий этап, направленный на пассивное накопление открытой информации о целевом окружении. Специалисты собирают общедоступные сведения о компании, включающие данные о структуре организации, персонале, IP-адресах, DNS-записях, социальных сетях и публичных базах данных. Эти сведения используются для составления общего представления о системе, которую предстоит протестировать. Threat Modeling and Risk Analysis (Моделирование угроз и анализ рисков) На этом этапе создается детализированная карта угроз и оцениваются потенциальные риски. Выявляются важные активы, определяемые как потенциально привлекательные объекты для злоумышленников, изучаются сценарии атак и создаются профили вероятных нарушителей (hackers' profiles). Определяются приоритетные точки атак и рассчитываются риски воздействия атак на организацию. Vulnerability Scanning (Поиск уязвимостей) Проводится активное сканирование систем на предмет обнаружения технических уязвимостей. Используются различные утилиты и автоматизированные решения для идентификации некорректно настроенных сервисов, устаревших версий программного обеспечения, неправильных конфигураций оборудования и сетей. На выходе получается список обнаруженных уязвимостей, ранжированный по уровню опасности. Exploitation (Эксплуатация уязвимостей) После сбора данных начинается активная фаза тестирования – попытки воспользоваться выявленными уязвимостями. Задача этого этапа – проверить, насколько реально можно проникнуть внутрь сети, перехватить управление системами или похитить ценные данные. Атаки проводятся осторожно, чтобы избежать серьезного повреждения инфраструктуры клиента. Наукосфера. №9 (1), 2025 Информационные технологии ISSN 2542-0402 5 http://nauko-sfera.ru/ Post-Exploitation (Послепроникновен ие) Если предыдущая атака оказалась успешной, специалист пытается расширить зону своего влияния, продвигаясь дальше по внутренним ресурсам организации. Проверяются права доступа, пароли, внутренние сервисы и информационные потоки, а также оценивается возможность долгосрочной скрытой активности злоумышленника («укоренение»). Reporting (Отчетность) Финальный этап тестирования – составление полного отчета, содержащего всю собранную информацию, выводы и рекомендации по устранению выявленных уязвимостей. Отчет оформляется профессионально и предоставляется клиенту вместе с презентацией и пояснением результатов. Клиент получает четкую картину существующей ситуации и инструкции по улучшению уровня информационной безопасности. В дополнение к стандарту PTES разработаны технические рекомендации, предназначенные для обеспечения единообразия и прозрачности в процессах тестирования на проникновение и создания общих правил для выполнения качественного и эффективного тестирования (URL: http://www.pentest-standard.org/index.php/PTES_Technical_Guidelines). Результаты проведения тестирования на проникновение. В ходе проведения внутреннего аудита информационной безопасности в организации, занимающейся разработкой и сопровождением программных продуктов, в соответствии с разработанной программой, было проведено тестирование на проникновение согласно стандарту Penetration Testing Execution Standard (PTES). Тестирование было инициировано собственными силами подразделения информационной безопасности с целью детального анализа текущего уровня защиты программного и аппаратного обеспечения сетевых компонентов организации. Тестирование осуществлялось поэтапно, следуя рекомендуемым стандартам PTES. Каждый этап проводился компетентными специалистами подразделения ИБ, ответственными за выполнение соответствующих задач. Перед началом тестирования были определены границы тестирования и составлены планы действий. Информация об используемых корпоративных ресурсах и системах, включая топологию сети, IP-диапазоны, доступные сервисы и программы, была собрана с применением общедоступного инструмента сканирования портов и сервисов Nmap. На основании собранной информации был проведен тщательный анализ данных для идентификации существующих уязвимостей в ПО и оборудовании сети. Также выявлены некорректная конфигурация серверов и незашифрованные каналы передачи данных. В результате проведения сканирования уязвимостей было выявлено наличие 26 идентификаторов CVE, охватывающих различные аппаратные компоненты сети и образующих суммарно 344 уязвимости в сетевой инфраструктуре. В таблице 3 представлены выявленные уязвимости с уровнем критичности по шкале CVSS от 4.0 до 10. Таблица 3. Уязвимости в сетевой инфраструктуре Идентификатор CVE Уровень критичности по шкале CVSS Количество уязвимых устройств в сети CVE-2024-45700 Средний (6,0) 1 CVE-2025-29968 Средний (6,5) 56 CVE-2025-21293 Высокий (8,8) 57 CVE-2018-0381 Средний (5,8) 3 Наукосфера. №9 (1), 2025 Информационные технологии ISSN 2542-0402 6 http://nauko-sfera.ru/ CVE-2024-43491 Критический (9,8) 54 CVE-2025-21379 Высокий (7,1) 3 CVE-2024-30054 Средний (6,5) 6 CVE-2025-20162 Высокий (8,6) 4 CVE-2023-37457 Высокий (7,5) 10 CVE-2024-38189 Высокий (7,8) 4 CVE-2025-32726 Средний (6,8) 10 CVE-2025-3891 Средний (6,9) 1 CVE-2025-24987 Средний (6,6) 54 CVE-2025-20122 Высокий (7,8) 4 CVE-2025-27318 Средний (5,6) 26 Процентное соотношение представленных в таблице 3 уязвимостей по уровням критичности показано на рисунке 1. Рис. 1. Распределение уязвимостей по уровню критичности Распределение уязвимостей в аппаратных компонентах сетевой инфраструктуры с указанием уровня критичности показано на рисунке 2. Рис. 2. Уязвимости в аппаратных компонентах сетевой инфраструктуры Наукосфера. №9 (1), 2025 Информационные технологии ISSN 2542-0402 7 http://nauko-sfera.ru/ Данная диаграмма показывает, что большинство уязвимостей, в том числе с критическим и высоким уровнем, сосредоточено на рабочих станциях пользователей, что связано с наличием большого количества установленных программ и приложений, подверженных уязвимостям, несмотря на установку регулярных обновлений. С целью подбора эксплойта для дальнейшей оценки возможности эксплуатации уязвимостей были изучены следующие публичные базы данных эксплойтов:  https://www.exploit-db.com/?ref=dtf.ru;  https://vulners.com/;  https://www.cve.org/. В результате поиска по общедоступным базам удалось обнаружить эксплойты для трех идентификаторов CVE: CVE-2024-21338, CVE-2025-27533 и CVE-2024-4367. Дальнейшее тестирование на проникновение было проведено при помощи платформы для проведения атак и эксплуатации уязвимостей Metasploit Framework и эксплойта для уязвимости CVE-2024-21338. В результате тестирования на целевом IP-адресе удалось повысить привилегии до уровня, сопоставимого с максимальными правами администратора. На заключительном этапе аудита был подготовлен отчёт о ходе и результатах тестирования. В нем представлена структура выявленных уязвимостей, возможные последствия их эксплуатации, предложены меры по устранению выявленных недостатков. Выводы. В работе рассмотрен опыт применения стандарта Penetration Testing Execution Standard (PTES) для повышения уровня информационной безопасности организации. Показано, что применение данного стандарта обеспечивает структурированную процедуру выявления и устранения уязвимостей в ИТ-инфраструктуре, снижая вероятность успешной реализации атак злоумышленниками. Практика показала, что организация эффективного тестирования на проникновение должна учитывать многообразие факторов, влияющих на безопасность цифровой среды, включая квалификацию соответствующих специалистов. Особое внимание стоит обратить на характер уязвимостей, демонстрирующий их постоянство и зависимость от изменений в технологиях и приложениях. Даже регулярные обновления программного обеспечения не гарантируют абсолютную защиту, так как новые версии могут содержать неизвестные ранее уязвимости. Это подчеркивает необходимость постоянного мониторинга, регулярных аудитов и совершенствования защитных механизмов. СПИСОК ЛИТЕРАТУРЫ 1. Ерышов В.Г., Ларионец К.А. Основные этапы, методики и средства проведения тестирования на проникновение // Обработка, передача и защита информации в компьютерных системах. 22 Сборник докладов Второй Международной научной конференции. Санкт-Петербург, 2022. С. 208212. 2. Иванов А. В., Огнев И. А. Проблемы оценки доверия к процессам аудита информационной безопасности// Вопросы кибербезопасности. 2024. № 3 (61). С. 40-50. 3. Козырь Н.С. Методические подходы риск-менеджмента информационной безопасности // Электронный сетевой политематический журнал «Научные труды КубГТУ». 2023. № 4. C. 99–109. 4. Лапсарь А.П., Назарян С.А., Владимирова А.И. Повышение устойчивости объектов критической информационной инфраструктуры к целевым компьютерным атакам. // Вопросы кибербезопасности. 2022. № 2 (48). С. 39-51. 5. Лившиц И.И., Бакшеев А.С. Исследование методик контроля уровня защищенности информации на объектах критической информационной инфраструктуры//Вопросы кибербезопасности. 2022. № 6 (52). С. 40-52. Наукосфера. №9 (1), 2025 Информационные технологии ISSN 2542-0402 8 http://nauko-sfera.ru/ 6. Макаренко С.И. Тестирование на проникновение на основе стандарта NIST SP 800-115 // Вопросы кибербезопасности. 2022. № 3(49). C. 44-57. 7. Макаренко С.И., Смирнов Г.Е. Анализ стандартов и методик тестирования на проникновение // Системы управления, связи и безопасности. 2020. № 4. С. 44-72. 8. Нижлукченко И.Д. Этичный хакинг и тестирование на проникновение: защита через наступление. Введение в концепции этичного хакинга, роли и методики тестирования на проникновение для улучшения безопасности систем// Международный журнал информационных технологий и энергоэффективности. 2024. Т. 9. № 5(43). С. 109–114. 9. Шукенбаев А.Б. Зиатдинова К.Р., Шукенбаева Н.Ш. Разработка методики тестирования безопасности ИТ-проектов // Вестник РГГУ. Серия «Информатика. Информационная безопасность. Математика». 2025 № 2 С. 80–92. 10. Neumeier, J. Securing enterprises: unveiling the importance and process of penetration testing / J. Neumeier, A. L. Zelezinskii, O. V. Arhipova // Economic Vector. 2024. No. 2(37). P. 204-211. Поступила в редакцию: 05.09.2025 © Абрегова З.А., 2025. Принята в печать: 14.10.2025