با توجه به تغییر گسترده به سمت کار از راه دور، داده های کسب و کار بیش از هر زمان دیگری از طریق خدمات ابری منتقل می شود و کارکنان بیشتر از دستگاههای شخصی و شبکههای Wi-Fi خانگی برای کار استفاده میکنند.
با افزایش نیاز به بهبود امنیت endpointها، تقاضا برای متخصصان امنیت سایبری که می توانند سیستمها را آزمایش کرده و آسیب پذیریهای امنیتی را تشخیص دهند، به شدت افزایش یافته است. تست نفوذ، به ویژه، نقشی کلیدی در رویه‌های امنیتی سازمانها ایفا کرده است. متخصصان امنیت سایبری با تست نفوذ، پارامترهای امنیتی را با انجام آزمایش‌های مختلف با استفاده از ابزارهای خودکار و دستی نظارت و بازرسی میکنند.
تست نفوذ چیست؟
تست نفوذ تکنیکی است که در امنیت سایبری برای شناسایی آسیب‌پذیری‌ها در برنامه‌ها یا شبکه‌ها استفاده می‌شود. تسترهای نفوذ همچنین اغلب مسئول ارزیابی سیاستهای امنیتی سازمان، انطباق و آگاهی کارکنان از پروتکل های امنیتی هستند. مشتریان می‌توانند از یافته‌های یک تست نفوذ برای رفع آسیب‌پذیری‌ها قبل از وقوع یک رخنه امنیتی استفاده کنند. بسیاری از سازمان ها نیز قبل از عرضه آزمایش های نفوذ محصولات جدید را انجام می دهند.
چرا تست نفوذ انجام دهیم؟
سازمانها باید دادههای حساس خود را از حملات سایبری ایمن نگه دارند. تسترهای نفوذ آموزش دیده اند تا آسیب پذیری سیستمها و شبکههای یک سازمان را با بررسی آنها از نظر ایرادات طراحی، آسیب پذیریهای فنی و موارد دیگر ارزیابی کنند. پس از انجام این ارزیابی‌ها، آزمایش‌کنندگان نفوذ می‌توانند اقداماتی را که سازمان می‌تواند برای اصلاح مشکلات کشف شده در طول آزمایش‌ها انجام دهد، توصیه کند.
آیا تست نفوذ برای مشاغل کوچک مفید است؟
تست نفوذ برای کسب و کارهای کوچک بسیار مفید است، زیرا استارت آپ ها و کسب و کارهای کوچک هدف اصلی مجرمان سایبری هستند. در برخی از صنایع، تست نفوذ برای مشاغل اجباری است. تست نفوذ حتی می‌تواند به رشد شرکت‌های کوچک و متوسط با بهبود انعطاف‌پذیری آنها کمک کند.
مراحل تست نفوذ
آزمایش نفوذ معمولاً شامل مراحل زیر است. از آنجایی که انواع مختلف تست‌های نفوذ اهداف و حوزه‌های متفاوتی دارند، یک تست نفوذ خاص ممکن است بیشتر بر روی برخی از این مراحل تمرکز کند یا برخی دیگر را حذف کند.
۱- قبل از تعهد
در مرحله آزمایش نفوذ قبل از تعامل، آزمایش‌کننده و مشتری دامنه آزمایش نفوذ را تعریف میکنند، مانند سیستم‌هایی که آزمایش خواهند شد، آزمایش‌کننده از چه روش‌هایی استفاده می‌کند، و هر هدف اضافی و پیامدهای آن چگونه است.
۲- شناسایی
شناسایی مستلزم آن است که آزمایش‌کننده تا حد امکان اطلاعات مربوط به موضوع مورد آزمایش را جمع‌آوری کند، مانند اطلاعات سیستمها و …
۳- مدل سازی تهدید
پس از جمع‌آوری اطلاعات کافی در مورد سیستم مشتری، آزمایش‌کنندگان شروع به مدل‌سازی تهدیدات واقع‌بینانه‌ای میکنند که مشتری قبل از اسکن آسیب‌پذیری‌های مربوطه در سیستم که آن حملات معمولاً هدف قرار می‌گیرند، انجام می‌دهند.
۴- بهره برداری
تمام آسیب‌پذیری‌های شناسایی‌شده در این مرحله مطابق با محدوده مشخص‌شده در مرحله پیش از تعامل مورد بهره‌برداری (exploit) قرار می‌گیرند.
۵- پس از بهره برداری
هنگامی که زمان آزمایش تمام شد یا تمام سیستم‌های مربوطه مورد سوء استفاده قرار گرفتند، تمام روش‌های آزمایش و آسیب‌پذیری‌ها – از جمله دستگاه‌ها، پورت‌ها یا پرسنل مرتبط – ثبت می‌شوند.
۶- گزارش
آزمایش‌کننده یک گزارش تست نفوذ برای مشتری تولید می‌کند که روش‌های استفاده شده، آسیب‌پذیری‌هایی که مورد سوء استفاده قرار گرفته‌اند، اقدامات اصلاحی باید انجام شود و هر اطلاعات مرتبط دیگری را شرح می‌دهد.
۷- تست مجدد
پس از اینکه مشکلات آسیب‌پذیری که در گزارش اولیه مشخص شده بود آزمایش‌کننده می‌تواند دوباره همان تست‌های نفوذ را روی سیستم مشتری اجرا کند تا بررسی کند که آسیب‌پذیری‌ها برطرف شده‌اند. این مرحله چندان رایج نیست اما ممکن است توسط مشتری درخواست شود.
رویکردهای استراتژیک برای تست نفوذ
سه رویکرد استراتژیک اصلی برای تست نفوذ وجود دارد که هر یک شامل مراحل و ابزارهای متفاوتی است. تفاوت های کلیدی در این رویکردها شامل میزان دانش مهاجم نظری از سیستم یا شبکه هدف است.
تست نفوذ جعبه خاکستری (Gray-box Penetration Testing)
در تست نفوذ جعبه خاکستری، تستر نفوذ اطلاعات اولیه سیستم هدف، مانند اعتبار دسترسی اولیه، نقشه زیرساخت شبکه را دارد. بنابراین، آزمایش‌های نفوذ جعبه خاکستری یک سناریوی حمله واقعی ایجاد میکنند، زیرا هکرهای مخرب معمولاً بدون جمع‌آوری اطلاعات در مورد هدف خود حمله نمی‌کنند.
تست نفوذ جعبه سیاه (Black-box Penetration Testing)
در مقابل، در تست نفوذ جعبه سیاه (که به عنوان تست نفوذ جعبه بسته هم نیز شناخته می شود)، تستر نفوذ هیچ دانش قبلی از شبکه یا سیستم هدف ندارد. از آنجایی که آزمایش‌کننده به اطلاعاتی مانند کد داخلی، نرم‌افزار، اعتبار یا دادههای حساس دسترسی ندارد، آزمایش‌های نفوذ در جعبه بسته، آزمایش‌کنندگان را مجبور میکنند که مانند یک هکر احتمالی در هنگام جستجوی آسیب‌پذیری‌ها فکر کنند. با این حال، برخلاف یک هکر مخرب واقعی، یک تستر نفوذ جعبه بسته تنها زمان محدودی برای دسترسی و آزمایش سیستم دارد.
تست نفوذ جعبه سفید (White-box Penetration Testing)
تست‌های نفوذ جعبه سفید (همچنین به عنوان تست‌های نفوذ جعبه باز هم شناخته می‌شوند) کمتر شبیه یک حمله سایبری هستند و بیشتر شبیه یک اسکن کامل یک سیستم در سطح کد منبع هستند. در تست نفوذ جعبه باز، تستر دارای بالاترین سطح دسترسی ممکن به سیستم هدف است. هدف این است که به آزمایش‌کننده اجازه داده شود از اقدامات امنیتی سیستم عبور کند تا بتواند آسیب‌پذیری‌های منطقی، پیکربندی‌های نادرست، کدهای ضعیف نوشته شده و اقدامات امنیتی ناکافی را پیدا کند. در حالی که تست‌های نفوذ جعبه باز جامع هستند، اما ممکن است نتوانند آسیب‌پذیری‌هایی را که مهاجم از آنها سوء استفاده می‌کند شناسایی کند. بنابراین، به طور کلی بهتر است تست جعبه باز را با تست جعبه بسته یا جعبه خاکستری ترکیب کنید.
انواع تست نفوذ
پنج نوع اصلی تست نفوذ وجود دارد که هر کدام بر آسیب‌پذیری‌های امنیتی مختلف تمرکز دارند و از مجموعه‌ای از ابزارهای منحصربه‌فرد استفاده میکنند. درک اشکال مختلف تست نفوذ برای حصول اطمینان از اینکه می توانید آزمون مناسب را مطابق با نیازهای خود بیابید ضروری است.
۱. تست نفوذ شبکه
در تست نفوذ شبکه، تستر نفوذ محیط شبکه را از نظر آسیب‌پذیری‌های امنیتی بررسی می‌کند. تست‌های نفوذ شبکه را می‌توان بیشتر به دو دسته تقسیم کرد: تست‌های خارجی و تست‌های داخلی. یک تست نفوذ خارجی شامل آزمایش آدرس‌های IP عمومی است، در حالی که یک تست داخلی به آزمایش‌کننده دسترسی شبکه را فراهم می‌کند تا بتواند از هکری که قبلاً به سیستم دفاعی شبکه نفوذ کرده است تقلید کند.
تسترهای نفوذ در تست‌های نفوذ شبکه بر روی حوزه‌های زیر تمرکز میکنند:
- پیکربندی فایروال
- تست Firewall bypass
- تحلیل و بررسی Stateful Inspection در فایروال
- فریب سامانه‌های پیشگیری از نفوذ
- حملات DNS
۲. تست نفوذ برنامه تحت وب
در تست نفوذ برنامه‌های تحت وب، آزمایش‌کنندگان مشکلات امنیتی مرتبط با طراحی، توسعه یا کدگذاری ناامن یک برنامه وب را جستجو میکنند. این نوع تست‌ها بر مرورگرها، وب سایت‌ها، برنامه‌های کاربردی وب و موارد مرتبط از جمله پلاگین‌ها، رویه‌ها و اپلت‌ها تمرکز دارند.
۳. تست نفوذ سمت کلاینت
تست‌های نفوذ سمت کلاینت،آسیب‌پذیری‌های امنیتی یک سازمان را شناسایی میکنند. اینها اغلب در برنامه‌ها و برنامه‌هایی که سازمان استفاده می‌کند، مانند پلتفرم‌های ایمیل، مرورگرهای وب و Adobe Acrobat قرار دارند.
به عنوان مثال، هکرها ممکن است از طریق ایمیلی که کارمند را به یک صفحه وب مخرب هدایت می کند، به یک برنامه آسیب پذیر دسترسی پیدا کنند یا بدافزار را روی یک USB بارگذاری کنند که می تواند بدافزار را پس از وارد کردن در دستگاه اجرا کند. هدف آزمایش‌های نفوذ سمت کلاینت شناسایی این خطرات و رسیدگی به تمام آسیب‌پذیری‌های داخلی مرتبط است.
۴. تست نفوذ شبکه بی‌سیم
آزمایش‌های نفوذ شبکه بی‌سیم بر آسیب‌پذیری‌های دستگاههای بی‌سیم، مانند تبلت، لپ‌تاپ، نوت‌بوک و گوشی‌های هوشمند تمرکز دارد. هدف این آزمایش‌ها شناسایی تمام دستگاههای مورد استفاده یک سازمان است که در برابر حملات سایبری آسیب‌پذیر هستند. این آسیب‌پذیری‌ها ممکن است شامل کنترل‌های امنیتی دستگاههای بی‌سیم، تنظیمات نقطه دسترسی یا پروتکل‌های امنیتی ضعیف باشد.
۵. تست نفوذ مهندسی اجتماعی
آزمون‌های نفوذ مهندسی اجتماعی بر جنبه انسانی امنیت یک سازمان تمرکز دارند. در یک آزمون مهندسی اجتماعی، آزمایش‌کنندگان سعی میکنند کارکنان را فریب دهند تا اطلاعات حساس را کنار بگذارند یا به آزمایش‌کننده اجازه دسترسی به سیستم‌های سازمان را بدهند. این به آزمایش‌کنندگان نفوذ امکان می‌دهد آسیب‌پذیری سازمان را در برابر کلاهبرداری یا سایر حملات سایبری مهندسی اجتماعی درک کنند.
آزمایش کنندگان اغلب از کلاهبرداری های فیشینگ به عنوان بخشی از آزمون های مهندسی اجتماعی استفاده می کنند. آزمایش فیزیکی ممکن است جنبه دیگری از آزمون مهندسی اجتماعی باشد؛ آزمایش‌کنندگان نفوذ می‌توانند با بهره‌گیری از ناآگاهی کارمندان از پروتکل‌های امنیتی، سعی کنند به یک ساختمان یا مکان امنی که مجوز آن را ندارند، دسترسی پیدا کنند.