مراحل کلی ارزیابی و آزمون امنیتی (پن تست)

ارزیابی و آزمون امنیتی) تست نفوذ، پن تست ،PenTest ،Penetration Test ) یک تمرین امنیتی است که در آن یک متخصص امنیت سایبری تلاش می‌کند تا آسیب‌پذیری‌ها را در یک سیستم کامپیوتری پیدا کند و از آن بهره‌برداری کند. هدف از این حمله شبیه‌سازی شده شناسایی نقاط ضعف در دفاع سیستم است که مهاجمان می توانند از آن بهره ببرند. این مانند این است که یک بانک شخصی را استخدام می کند تا لباس سارق بپوشد و سعی کند به ساختمان آنها نفوذ کند و به صندوق دسترسی پیدا کند. اگر «سارق» موفق شود و وارد بانک یا خزانه شود، بانک اطلاعات ارزشمندی در مورد چگونگی نیاز به تشدید تدابیر امنیتی به دست خواهد آورد.

بهتر است یک تست  نفوذ توسط شخصی انجام شود که اطلاعات قبلی در مورد نحوه ایمن سازی سیستم ندارد زیرا ممکن است بتواند نقاط کوری را که توسط توسعه دهندگان سازنده سیستم از دست رفته است را آشکار کند. به همین دلیل معمولاً پیمانکاران خارجی برای انجام آزمایشات وارد می شوند. این پیمانکاران اغلب به عنوان “هکرهای اخلاقی” (Ethical Hackers) شناخته می شوند زیرا آنها برای هک کردن یک سیستم با مجوز و به منظور افزایش امنیت استخدام می شوند.

بسیاری از هکرهای اخلاقی توسعه دهندگان باتجربه با مدارک پیشرفته و گواهینامه تست نفوذ هستند. از سوی دیگر، برخی از بهترین هکرهای اخلاقی خودآموخته هستند. در واقع، برخی هکرهای جنایتکار اصلاح شده هستند که اکنون از تخصص خود برای کمک به رفع نقص های امنیتی به جای سوء استفاده از آنها استفاده می کنند. بهترین کاندید برای انجام تست نفوذ می تواند بسته به شرکت مورد نظر و نوع آزمایش نفوذی که می خواهند شروع کنند بسیار متفاوت است.

مراحل تست نفوذ

فرآیند تست نفوذ را می توان به پنج مرحله تقسیم کرد:

1. برنامه ریزی و شناسایی

مرحله برنامه ریزی شامل دو بخش زیر می باشد:

·         تعریف دامنه و اهداف یک آزمون، از جمله سیستم هایی که باید مورد بررسی قرار گیرند و روش های آزمایشی که باید استفاده شود.

·         جمع آوری اطلاعات (به عنوان مثال، نام های شبکه و دامنه، سرور ایمیل) برای درک بهتر نحوه عملکرد یک هدف و آسیب پذیری های احتمالی آن.

2. اسکن

گام بعدی این است که بفهمیم برنامه هدف چگونه به تلاش های مختلف نفوذ پاسخ می دهد. این معمولاً با استفاده از موارد زیر انجام می شود:

·         تجزیه و تحلیل استاتیک – بازرسی کد برنامه به صورت آفلاین برای تخمین نحوه عملکرد آن در حین اجرا. این ابزارها می توانند کل کد را در یک مرحله اسکن کنند.

·         تجزیه و تحلیل پویا – بازرسی کد برنامه در حالت در حال اجرا. این یک روش عملی‌تر برای اسکن است، زیرا نمایشی در زمان واقعی از عملکرد یک برنامه ارائه می‌کند.

3. دسترسی گرفتن

این مرحله از حملات برنامه های وب مانند اسکریپت نویسی بین سایتی، تزریق SQL و درهای پشتی برای کشف آسیب پذیری های هدف استفاده می کند. سپس آزمایش‌کننده‌ها سعی می‌کنند از این آسیب‌پذیری‌ها سوءاستفاده کنند، معمولاً با افزایش امتیازات، سرقت داده‌ها، رهگیری ترافیک و غیره برای درک آسیب‌هایی که می‌توانند ایجاد کنند.

4. حفظ دسترسی

هدف این مرحله این است که ببینیم آیا می‌توان از آسیب‌پذیری برای دستیابی به حضور دائمی در سیستم بهره‌برداری‌شده استفاده کرد یا نه – به اندازه‌ای که یک بازیگر بد به دسترسی عمیق دست پیدا کند. ایده تقلید از تهدیدات مداوم پیشرفته است که اغلب ماه ها در یک سیستم باقی می مانند تا حساس ترین داده های سازمان را بدزدند.

5. تجزیه و تحلیل

سپس نتایج آزمون نفوذ در گزارشی با جزئیات جمع‌آوری می‌شود:

·         آسیب پذیری های خاصی که مورد سوء استفاده قرار گرفتند

·         داده های حساسی که به آنها دسترسی پیدا شد

·         مدت زمانی که تستر قلم توانست در سیستم بدون شناسایی بماند

این اطلاعات توسط پرسنل امنیتی تجزیه و تحلیل می شود تا به پیکربندی تنظیمات WAF شرکت و سایر راه حل های امنیتی برنامه برای اصلاح آسیب پذیری ها و محافظت در برابر حملات آینده کمک کند.

منابع:

1.      https://www.imperva.com/learn/application-security/penetration-testing/

2.      https://www.cloudflare.com/learning/security/glossary/what-is-penetration-testing/

3.      https://cybersecurityworks.com/pentesting-service.php