[HaHacking] Чек-лист: Физический пентест

Чек-лист создан в ознакомительных целях и предназначен только для специалистов по анализу защищённости, которые проводят анализ защищённости ресурсов компании-заказчика строго на законных основаниях и на основании договора, заключенного с компанией-заказчиком.

Данный чек-лист может быть полезен для сбора достаточного объема информации, необходимой для разработки плана проведения физического пентеста, а также для эффективной импровизации в случае такой необходимости.

Заказчик — Компания-заказчик, с которой заключен договор о проведении работ по анализу защищённости её ресурсов
Здание — Здание, в котором располагается компания-заказчик
Организации — Организации, которые располагаются в одном здании с компанией-заказчиком или оказывают услуги заказчику / зданию / другим организациям

Потенциальные источники информации:

Просмотреть информацию о заказчике / здании / организациях в Google Maps / Яндекс Карты / 2GIS / сайтах-отзовиках
Просмотреть официальные сайты / соцсети заказчика / здания / организаций
Просмотреть фотографии в VK, геолокация которых попадает в / около адреса здания
Просмотреть посты в Instagram (РКН: сайт нарушает закон РФ), геолокация которых попадает в / около адреса здания
Просмотреть сотрудников заказчика / организаций в Хабр Карьере / LinkedIn / других соцсетях, которые потенциально посещают здание
Поиск по фотографиям (в том числе для определения моделей оборудования): Google Lens / Яндекс Картинки
Непосредственно здание и его посетители 👀

Вопросы для подготовки:

Как выглядит план здания? Как выглядит план эвакуации?
Как пройти к лифтам / лестницам? Куда ведут лифты / лестницы?
Какая часть здания / прилежащей территории доступна гостям / без пропуска?
Где зоны ожидания / комнаты отдыха / столовые / курилки / ...?
Где посты охраны?
Где камеры? Куда они направлены?
Где слепые зоны? Какие из них слепые для камеры, а какие - для людей?
Где зеркала Гезелла* (*зеркало, прозрачное с одной стороны)?
Где туалетные комнаты? Где ещё можно спрятаться?
Где мусорные баки? Где ещё можно что-то спрятать?

Какие организации есть в здании?
Какие из них не съехали и являются действующими?
Какой у них график работы?
На каких они этажах?
В какие из них можно обратиться в качестве клиента?
Какие из них могут оформить гостевой пропуск для клиента?
Какие из них имеют открытые вакансии? На какие позиции? Кто рекрутер?
Какие категории сотрудников (департаменты, должности, ...) этих организаций работают в данном здании?
Кто занимается обслуживанием (техническим, санитарным, ремонтно-строительным, ...) здания / заказчика / организаций?
Проводятся ли где-либо в здании / на прилежащих территориях ремонтно-строительные работы?

Как выглядит типичный посетитель здания?
Как выглядят сотрудники заказчика / организаций / здания?
Как выглядят работники, занимающиеся обслуживанием здания / заказчика / организаций?
Какие типичные размеры и виды сумок, которые носят с собой работники? Допускаются ли рюкзаки / крупные сумки?
Будет ли слышно Вашу обувь на используемом в здании напольном покрытии? Будет ли слышно Вашу одежду / украшения / другие элементы?
Куда можно убрать верхнюю одежду / головной убор / зонт / уличную обувь? Что можно сделать с мокрой / грязной одеждой / обувью?

О чём разговаривают посетители и сотрудники? Какие новости?
Покидает ли охрана пост? Меняются ли сотрудники охраны? Когда?
В какой промежуток времени сотрудники прибывают в / покидают здание? Когда образуется наибольший / наименьший поток людей?
В какой промежуток времени сотрудники посещают места отдыха / общепиты / курилки / ...?
Как выглядят пропуска заказчика / организаций / здания?
Как выглядят гостевые пропуска заказчика / организаций / здания?
Формируется ли очередь при одновременном входе / выходе сотрудников?
Проходили ли сотрудники по одному пропуску, друг за другом? Забегал ли один сотрудник за другим, пока не закрылся турникет / дверь? Были ли среди них такие группы посетителей, которые состояли не только лишь из знакомых / друзей? Были ли сотрудники, которые, забегая, не прикладывали свои пропуски к считывателям?
Проходили ли посетители по гостевому пропуску? Как?
Проходили ли посетители без пропуска? Как?
Проходили ли внешние работники без пропуска (доставщики еды, продуктов, документов, ...)? Как?
Придерживают ли девушкам те двери, что открываются по пропуску?
Закрывают ли сотрудники за собой двери? Как быстро закрываются турникеты / двери? Как звучит закрытие?
Как звучит срабатывание пропуска?
Позволяет ли форма и механизм турникета обойти его без нанесения повреждений (перепрыгнуть / проползти / протиснуться / ...)?

Вопросы для регулярной самопроверки!

✅ Мои действия законны / одобрены / закреплены в договоре с заказчиком?

✅ Мои действия не оказывают негативного влияния на сотрудников и деятельность организаций, с которыми не был заключен договор о проведении работ по анализу защищённости их ресурсов?