تست نفوذ چیست؟

تست نفوذ (Penetration Test یا به اختصار Pen Test) یک حملۀ سایبری شبیه‌سازی‌شده به سیستم‌های کامپیوتری برای سنجش میزان امنیت آنها است. متخصصین تست نفوذ از ابزارهای مشابه با هکرها استفاده می‌کنند . بدین ترتیب تبعات اقتصادی ضعف‌های سیستم را شناسایی کرده و در معرض نمایش می گذارند. متخصصین تست نفوذ معمولاً حملات سایبری که در صورت بروز در دنیای واقعی ، خسارات مالی در پی دارد را انجام می‌دهند. آن‌ها با انواع حساب‌های کاربری تأیید اعتبار شده و نشده به سیستم نفوذ می‌کنند تا میزان مقاومت و امنیت سیستم در هر یک از حالات مشخص شود.

«شرکت فنی-مهندسی نوآوران افراتک هوشمند» ، این ابزارهای آزمون نفوذ ( pentest ) و ارزیابی امنیتی را تامین و پشتیبانی می‌نماید.

مزیت‌های تست نفوذ چیست؟

به‌طور پیش‌فرض، نرم‌افزارها و سیستم‌ها طوری طراحی شده‌اند که در برابر نقص‌های امنیتی خطرناک مصون باشند. عملیات تست نفوذ می‌تواند مشخص کند که سیستم‌های یک سازمان چقدر امن هستند. تست نفوذ می‌تواند به سازمان‌ها کمک کند تا:

ضعف‌های سیستم خود را بشناسند.
میزان مقاومت سیستم خود را ارزیابی کنند.
مطابقت سیستم خود را با قوانین حریم خصوصی و امنیت داده (مانند PCL، DSS، GDPR و HIPAA) بررسی کنند.
نمونه‌هایی کیفی و کمی از وضعیت فعلی امنیت تهیه کرده و اولویت‌بندی تخصیص بودجه برای مدیر شبکه را انجام دهند.

به متخصصین تست نفوذ چه میزان دسترسی داده می‌شود؟

بر اساس هدف تست نفوذ ، سه نوع تست نفوذ وجود دارد:

Black-Box: در این حالت تیم تست نفوذ ،راجع به ساختار درونی سیستم چیزی نمی‌داند. آن‌ها دقیقاً مانند هکرها رفتار کرده و سعی در بهره‌گیری از هر آسیب‌پذیری‌ می‌کنند.

Gray-Box: تیم تست نفوذ اطلاعات کمی دربارۀ اطلاعات ورود به سیستم، مانند برخی از رمزها دارد؛ هم‌چنین دربارۀ ساختار درونی سیستم، کدها و الگوریتم نیز می‌داند. متخصصین سعی می‌کنند تا موارد تست را با توجه به این اطلاعات، طراحی کنند.

White-Box: تیم تست نفوذ به تمام اطلاعات سیستم و “Artifact”ها (داده‌هایی که برای شناسایی تهدیدات به کار می‌روند)، دسترسی دارد، که شامل: کد اصلی، باینری‌ها، کانتینرها و حتی گاهی سرورهای سیستم است . این رویکرد، مطمئن‌ترین نتیجه را در کمترین زمان می‌دهد.

مراحل تست نفوذ چیست؟

تیم تست نفوذ حمله‌ای سایبری را شبیه‌سازی می‌کنند. برای این کار، معمولاً از یک نقشۀ راه استفاده می‌کنند که شامل این موارد است:

شناسایی: در این مرحله سعی براین است تا حد امکان اطلاعات بیشتری از طریق منایع داخلی و خارجی به دست آورده شود. منابع خارجی می‌تواند شامل اینترنت، مهندسی اجتماعی، اسکن شبکه و حتی جست‌وجو میان فایل‌های باطله باشد. این اطلاعات به تست‌ نفوذ کاران کمک می‌کند که نقشۀ آسیب‌پذیری‌ها و حمله را بتوانند ترسیم کنند. بسته به میزان دسترسی پن تستر، این مرحله می‌تواند صرفاً با یک تماس تلفنی هم انجام شود.

نظارت کردن: تست نفوذ کاران از ابزار مختلفی برای اطلاع از نقاط ضعف وب‌سایت یا سیستم هدف استفاده می‌کنند، که می‌تواند شامل این موارد باشد: سرویس‌های عمومی، مشکلات امنیتی اپلیکیشن‌ها و آسیب پذیری‌های متن‌باز.

دسترسی پیدا کردن: انگیز‌ه‌های مهاجمین سایبری می‌تواند مختلف باشد: سرقت اطلاعات ، تغییر دادن داده ها و حذف کردن دادهها ، انتقال پول و یا حتی خدشه دار کردن اعتبار یک شرکت. متخصص تست نفوذ برای هر یک از این سناریوها، بایستی بهترین ابزار را انتخاب کرده تا به سیستم دسترسی پیدا کند؛ این ابزار می‌تواند SQL Injection ، بدافزار، مهندسی اجتماعی و یا روش‌های دیگر باشد .

حفظ دسترسی: وقتی که متخصص تست نفوذ به سیستم دسترسی پیدا کرد، باید این دسترسی را به اندازۀ کافی حفظ کند تا بتواند به اهدافی نظیر دریافت، تغییر یا حذف کردن اطلاعات، برسد. این کار برای آگاهی از ابعاد احتمالی آسیب‌پذیری می باشد.

انواع تست نفوذ

برای مدیریت بحران در یک سازمان ، انجام کامل و جامع عملیات تست نفوذ اهمیت به‌سزایی دارد ،که شامل تست و آزمایش تمام جنبه‌های سازمان می باشد.

اپلیکیشن‌های تحت وب: متخصصین تست نفوذ میزان کارآمدی کنترل‌های امنیتی را آزموده و به دنبال آسیب‌پذیری‌های پنهان، الگوهای حملات و هر خلأ امنیتی دیگری می‌گردند که ممکن است منجر به نفوذ به سیستم شود.

اپلیکیشن‌های موبایلی: متخصصین تست نفوذ با استفاده از تست‌های اتوماتیک یا دستی به دنبال آسیب‌پذیری‌هایی در «باینری»های اپلیکیشن‌هایی که روی موبایل اجرا می‌شوند، و هم‌چنین عملیات‌های سرور محور می‌گردند. آسیب‌پذیری‌های سرور محور شامل مدیریت نشست‌ها، مشکلات رمزنگاری ، احراز هویت و اعطای دسترسی و سایر آسیب‌پذیری‌های شایع سرویس وب می‌ باشد.

شبکه‌ها: این تست، آسیب‌پذیری‌های معمولی تا شدید را در سیستم‌ها و شبکه‌های خارجی، بررسی می‌کند. تست‌کننده‌ها طبق فهرستی عمل می‌کنند، که می‌تواند شامل پروتکل‌های انتقال رمزگذاری‌شده، مسائل مربوط به گواهی‌های SSL، استفاده از سرویس‌های مدیریتی و… باشد.

فضای ابری: محیط‌های ابری با محیط‌های فیزیکی‌ای که به طور معمول با آن‌ها سرو کار داریم، بسیار متفاوت است. مسئولیت‌ تأمین امنیت در این سیستم‌ها، هم برعهدۀ شرکت استفاده کننده از خدمات ابری و هم شرکتی که خدمات ابری را ارائه می‌کند می باشد. به همین دلیل، تست نفوذ فضاهای ابری، نیازمند تخصص ویژه‌ای در چندین حوزۀ مختلف است تا تمام ابعاد شبکۀ ابری بررسی شود، مانند کانفیگ‌ها، API-ها، دیتابیس‌های مختلف، رمزگذاری، ذخیره‌سازی و کنترل‌های امنیتی.

کانتینرها: کانتینرهایی که از Docker گرفته شده‌اند، معمولاً آسیب‌پذیری‌هایی دارند که می‌تواند مورد سوءاستفاده قرار بگیرد. کانفیگ نامناسب یکی دیگر از تهدیدات رایجی است که کانتینرها و محیطشان ، با آن روبه‌رو هستند. هر دوی این خطرات می‌تواند با یک تست نفوذ تخصصی، شناسایی شود.

اینترنت اشیاء (IoT): تجهیزات اینترنت اشیاء، مانند دستگاه‌های پزشکی، خودروها، لوازم منزل، دکل‌های نفتی و ساعت‌های مچی، هر یک ابزار و نرم‌افزارهای خاص خود را دارند، که این امر به دلیل طول عمر زیاد آن‌ها، دسترسی‌ از راه دور، محدودیت‌ توان، قوانین و مقررات و… می‌باشد. متخصصان تحلیل کلاینت سرور جامعی انجام می‌دهند تا نقاط ضعف مهم‌تر، شناسایی شوند.

API-ها: برای پوشش دادن لیست OWASP top 10، هم ابزار تست خودکار و هم ابزار تست دستی استفاده می‌شود . برخی از تست نفوذ کاران به دنبال خطرات و آسیب‌پذیری‌هایی مانند object-های اعطای دسترسی مشکل‌دار، احراز هویت کاربران، دسترسی‌ها غیرضروری به داد‌ه‌ها، نبود محدودکنندۀ منابع و… می‌گردند.