تست نفوذ چیست؟

تست نفوذ، تست نفوذ یا هک اخلاقی، تمرین آزمایش امنیت سایبری یک سیستم کامپیوتری، شبکه یا برنامه وب با جستجوی آسیب پذیری های امنیتی قابل بهره برداری است. تست نفوذ را می توان با ابزارهای تست نفوذ یا به صورت دستی توسط تسترهای نفوذ خودکار کرد.

در اصل، تست نفوذ به دنبال پاسخ به موارد زیر است:

• چگونه یک حمله بر برنامه امنیتی من غلبه می کند؟
• چگونه آنها به داده های حساس من و مشتری من دسترسی پیدا می کنند؟

شبکه، برنامه، دستگاه و امنیت فیزیکی شما را از نگاه یک عامل مخرب و یک تیم امنیتی با تجربه مشاهده می کند تا نقاط ضعف را کشف کند و تشخیص دهد که چگونه وضعیت امنیتی شما می تواند بهبود یابد. این یک جنبه مهم از امنیت سایبری است که همه سازمان ها باید از آن استفاده کنند.

تسترهای قلم حملات سایبری مجاز را راه اندازی می کنند که برای دسترسی به اطلاعات حساس طراحی شده اند، شبیه سازی اینکه یک حمله در دنیای واقعی چه چیزی را هدف قرار می دهد، کنترل های امنیتی شما چگونه عمل می کند و میزان نقض بالقوه داده ها را شبیه سازی می کنند.

چه چیزی در تست نفوذ دخیل است؟

به طور معمول یک سیستم هدف شناسایی می شود و یک هدف خاص تعریف می شود، به عنوان مثال دسترسی به PII و PHI که منجر به نقض داده های قابل اطلاع می شود.

سپس آزمایش کنندگان قلم اطلاعات موجود را بررسی می کنند و از روش های مختلفی برای تلاش و رسیدن به هدف خود استفاده می کنند. به عنوان مثال، آنها ممکن است از تزریق SQL، فیشینگ و سایر حملات مهندسی اجتماعی، اسکریپت نویسی بین سایتی یا سوء استفاده از آسیب پذیری ها استفاده کنند.

پس از اتمام تست نفوذ، کارشناسان امنیتی یک ارزیابی امنیتی را به صاحبان هدف ارائه می دهند. این ارزیابی به طور کلی تأثیر بالقوه و اقدامات متقابل طراحی شده برای کاهش ریسک امنیت سایبری را تشریح می کند.

تفاوت بین امنیت سایبری و هک اخلاقی را بیاموزید.

مناطق مشترک برای تست نفوذ چیست؟

مناطق مشترک برای تست نفوذ عبارتند از:

• تست نفوذ برنامه: مسائلی مانند جعل درخواست بین سایتی، اسکریپت نویسی بین سایتی، نقص های تزریق، مدیریت ضعیف جلسه و موارد دیگر را شناسایی می کند.
• تست نفوذ شبکه: نقص های سطح شبکه از جمله پیکربندی های نادرست، آسیب پذیری های خاص محصول، آسیب پذیری های شبکه بی سیم، سرویس های سرکش، رمزهای عبور ضعیف، پروتکل های آسیب پذیر و رمزهای عبور پیش فرض را برجسته می کند
• تست نفوذ فیزیکی: نشان می دهد که چگونه می توان بر کنترل های فیزیکی مانند قفل ها، اسکن های بیومتریک، سنسورها و دوربین ها غلبه کرد
• تست نفوذ اینترنت اشیا: آسیبپذیریهای سختافزاری و نرمافزاری در اینترنت اشیا (اینترنت اشیا) دستگاهها، از جمله رمزهای عبور پیش فرض، پروتکل های ناامن، API های باز، پیکربندی های نادرست و موارد دیگر را کشف می کند

هدف از تست نفوذ چیست؟

هدف از یک تست نفوذ به نوع فعالیت تایید شده و الزامات انطباق شما بستگی دارد. تست نفوذ می تواند به سازمان ها کمک کند:

• امکان سنجی بردارهای حمله خاص را تعیین کنید
• شناسایی آسیب پذیری های پرخطر ناشی از آسیب پذیری های کم خطر که به روشی خاص مورد سوء استفاده قرار می گیرند.
• آسیب پذیری هایی را که در نرم افزار اسکن آسیب پذیری خودکار شبکه یا برنامه شناسایی نمی شوند برجسته کنید
• ارزیابی اثرات بالقوه تجاری، عملیاتی و نظارتی حملات سایبری موفق
• تست دفاع شبکه و توانایی سازمان شما برای شناسایی، پاسخ و توقف موفقیت آمیز حمله
• زمینه را برای حمایت از افزایش سرمایه گذاری در سیاست ها، رویه ها، پرسنل یا فناوری امنیت اطلاعات فراهم کنید
• الزامات انطباق را برآورده کنید، به عنوان مثال همه نهادهای تحت نظارت FISMA ملزم به رعایت NIST SP 800-115، راهنمای فنی آزمایش و ارزیابی امنیت اطلاعات هستند. استاندارد امنیت داده های صنعت کارت پرداخت (PCI DSS) نیز به آزمایش نفوذ منظم نیاز دارد.
• اجرای کنترل های امنیتی جدید را که برای خنثی کردن حملات مشابه وضع شده است، تأیید کنید

در پایان، هدف استاندارد یافتن مسائل امنیتی است که می تواند توسط مهاجم مورد سوء استفاده قرار گیرد و سپس به اشتراک گذاشتن این اطلاعات، در کنار استراتژی های کاهش مربوطه با هدف.

در حالی که تست نفوذ می تواند به شناسایی نقاط ضعف در امنیت شبکه، امنیت اطلاعات، امنیت برنامه ها و امنیت داده ها کمک کند، اما تنها بخشی از یک ممیزی امنیتی کامل است.

شش مرحله تست نفوذ چیست؟

تست نفوذ را می توان به شش مرحله تقسیم کرد:

• شناسایی: جمع آوری اطلاعات در مورد هدف برای حمله بهتر به هدف. به عنوان مثال، استفاده از هک گوگل برای یافتن داده هایی که می توانند در حمله مهندسی اجتماعی استفاده شوند.
• اسکن: استفاده از ابزارهای فنی برای به دست آوردن دانش بیشتر در مورد دارایی های خارجی هدف، به عنوان مثال استفاده از Nmap برای اسکن پورت های باز.
• به دست آوردن دسترسی: با استفاده از داده های جمع آوری شده در مراحل شناسایی و اسکن، تستر قلم می تواند یک محموله برای بهره برداری از هدف ارائه دهد. به عنوان مثال، Metasploit می تواند برای خودکارسازی حملات به آسیب پذیری های شناخته شده مانند موارد ذکر شده در CVE استفاده شود.
• حفظ دسترسی: پس از دسترسی ، آزمایش کننده نفوذ ممکن است اقداماتی را برای دسترسی مداوم به هدف انجام دهد تا بتواند تا حد امکان داده ها را استخراج کند.
• پوشش مسیرها: مرحله آخر پاک کردن هرگونه اثری از دسترسی آنها با حذف مسیرهای حسابرسی، رویدادهای ورود به سیستم و غیره است.
• گزارش: یافته ها را تشریح می کند و ارزیابی آسیب پذیری را با مراحل اصلاحی پیشنهادی ارائه می دهد.

توجه داشته باشید که این فرآیند را می توان تکرار کرد زیرا آزمایش کننده نفوذ مشکلات امنیتی جدیدی را پیدا می کند.

چه کسی خدمات تست نفوذ را ارائه می دهد؟

خدمات تست نفوذ به طور کلی توسط یک مشاور خارجی یا تیم قرمز داخلی با دانش قبلی کمی از نحوه ایمن سازی هدف ارائه می شود.

این به آنها اجازه می دهد تا های کور احتمالی را که توسط تیم امنیت داخلی از دست رفته است، افشا کنند.

انواع تست های نفوذ چیست؟

• تست قلم جعبه سفید: هکرهای اخلاقی اطلاعات پس زمینه و سیستم مانند ایمیل های کارکنان، سیستم عامل ها، سیاست های امنیتی یا کد منبع را در اختیار هکرهای اخلاقی قرار می دهند. می توان گفت که این نوع تست امنیتی تهدیدات داخلی را تقلید می کند.
• تست قلم جعبه سیاه: به متخصصان امنیتی اطلاعات اولیه یا بدون اطلاعات فراتر از نام هدف ارائه می شود. این بدان معناست که آزمایش کنندگان نفوذ فقط به اطلاعاتی دسترسی دارند که می توانند از طریق اسکن آسیب پذیری، خرابی های OPSEC، مهندسی اجتماعی و تجزیه و تحلیل وضعیت امنیتی خارجی جمع آوری کنند. این از مهاجمان خارجی تقلید می کند که سعی می کنند به سازمان شما دسترسی پیدا کنند.
• تست قلم جعبه خاکستری: ترکیبی از جعبه سفید و تست جعبه سیاه، که در آن دانش محدود از هدف با تستر قلم به اشتراک گذاشته می شود. این نوع تست امنیتی می تواند به تعیین اینکه کدام سیستم ها در برابر مهاجمانی که قادر به دسترسی اولیه به شبکه داخلی شما هستند، آسیب پذیر هستند، کمک کند.
• تست قلم مخفی/دو سو کور: موقعیتی را توصیف می کند که در آن تعداد بسیار کمی از مردم می دانند که تست نفوذ در حال انجام است، از جمله تیم های فناوری اطلاعات و امنیتی که به حمله پاسخ می دهند.
• تست نفوذ خارجی: این زمانی است که یک هکر اخلاقی فناوری بیرونی یک شرکت مانند وب سایت و سرورهای شبکه خارجی آنها را هدف قرار می دهد. این نوع تست های قلم معمولا از یک مکان دور انجام می شود.
• تست نفوذ داخلی: این تست از داخل شبکه داخلی شرکت انجام می شود و برای تعیین میزان آسیب توسط یک خودی از داخل فایروال شرکت مفید است.
• تست نفوذ هدفمند: تستر نفوذ و تیم امنیتی با هم کار می کنند و یکدیگر را از اقدامات انجام شده برای حمله به هدف و دفاع از حمله مطلع می کنند. این به عنوان یک تمرین آموزشی عمل می کند که بازخورد بلادرنگ را ارائه می دهد.

چرا تست نفوذ مهم است؟

تست نفوذ مهم است زیرا به تعیین میزان دستیابی سازمان شما به اهداف امنیتی خود کمک می کند.

هدف از این حملات شبیه سازی شده شناسایی نقاط ضعف در کنترل های امنیتی شما است که مهاجمان می توانند از آن سوء استفاده کنند.

تست نفوذ و به طور کلی امنیت سایبری، با اتکای بیشتر ما به فناوری برای پردازش اطلاعات حساس، اهمیت بیشتری پیدا می کند.

به عنوان بخشی از یک برنامه امنیت سایبری، تست نفوذ به شما کمک می کند تا کیفیت کنترل های امنیتی خود را بهبود بخشید. همچنین می تواند به کاهش هزینه و دفعات خرابی ، بهبود میانگین زمان تعمیر (MTTR) ، محافظت از شهرت برند ، حفظ اعتماد مشتری ، جلوگیری از دادخواهی و اطمینان از انطباق با مقررات کمک کند.

چرا تست نفوذ کافی نیست

متخصصان امنیتی در مورد اهمیت تست نفوذ اختلاف نظر دارند. برخی معتقدند که این مهمترین چیز است، برخی دیگر معتقدند که اتلاف وقت است.

مانند بسیاری از شیوه های امنیتی، حقیقت جایی در این بین است و اثربخشی آن به کاربرد و دامنه بستگی دارد.

تست نفوذ به تنهایی هرگز برای جلوگیری از نقض داده ها کافی نیست، اما اطلاعات به دست آمده از آن می تواند نقش مهمی در تقویت کنترل های امنیتی سازمان شما داشته باشد.

در حالی که چارچوب های متعددی وجود دارد که فرآیند تست نفوذ را ترسیم می کند، این یک اصطلاح گسترده باقی می ماند که شامل مجموعه ای از فعالیت های مختلف است که برای شناسایی نقاط ضعف در امنیت سایبری شما طراحی شده اند.

این می تواند مستلزم استفاده از ابزارهای امنیتی تخصصی مانند کالی لینوکس یا Backbox و Metasploit یا Nmap برای کشف و بهره برداری از آسیب پذیری ها، انجام حملات مهندسی اجتماعی برای آزمایش کنترل های فیزیکی یا استفاده از هکرهای اخلاقی برای شبیه سازی حملات سایبری باشد.

در پایان هدف یکسان است: بهبود وضعیت امنیتی و کاهش ریسک امنیت سایبری.

حتی کامل ترین برنامه ها و زیرساخت ها نیز می توانند قربانی نقض داده ها یا نشت داده ها شوند. این حقیقت ناامید کننده امنیت سایبری است - گاهی اوقات مهاجمان یک قدم جلوتر از تیم امنیتی شما هستند.

علاوه بر این، حتی بهترین تسترهای قلم فقط می توانند با دانش و ابزاری که در اختیار دارند کار کنند.

در مورد اکسپلویت های روز صفر، مانند EternalBlue که منجر به کرم باج افزار WannaCry شد، بهترین کاری که می توانید انجام دهید این است که سریع پاسخ دهید. این را با این واقعیت همراه کنید که فروشندگان شخص ثالث اطلاعات حساس تر و بیشتری را مدیریت می کنند، و درک اینکه در حالی که تست نفوذ مهم است، نمی تواند تنها کاری باشد که شما انجام می دهید.

برای تأثیرگذاری ماندگار بر سازمان، تست نفوذ باید با نظارت امنیتی مستمر در زمان واقعی اشخاص اول، سوم و چهارم ادغام شود.

این ابزارها می توانند به طور خودکار آسیب پذیری های شناخته شده را شناسایی کنند، به کاهش آسیب پذیری های پرخطر کمک کنند، ارزیابی ریسک فروشنده مداوم را ارائه دهند و به شما کمک کنند تا تلاش های مدیریت ریسک فروشنده خود را افزایش دهید.

فریمورک های رایج تست نفوذ چیست؟

چارچوب ها و روش های مختلفی برای انجام تست های نفوذ وجود دارد از جمله:

• راهنمای روش تست امنیت منبع باز (OSSTMM)
• استاندارد اجرای تست نفوذ (PTES)
• NIST SP 800-115
• چارچوب ارزیابی امنیت سیستم اطلاعات (ISSAF)
• راهنمای تست OWASP

شرکت هایی مانند Intercontinental Exchange، Taylor Fry، بورس اوراق بهادار نیویورک، IAG، First State Super، Akamai، Morningstar و NASA از UpGuard برای محافظت از داده های خود، جلوگیری از نقض داده ها، نظارت بر آسیب پذیری ها و جلوگیری از بدافزارها استفاده می کنند.

ما متخصص نقض داده ها و نشت داده ها هستیم، تحقیقات ما در نیویورک تایمز، وال استریت ژورنال، بلومبرگ، واشنگتن، فوربس، رویترز و Techcrunch به نمایش گذاشته شده است.

UpGuard Vendor Risk می تواند با خودکارسازی پرسشنامه های فروشنده و ارائه الگوهای پرسشنامه فروشنده که به چارچوب امنیت سایبری NIST و سایر بهترین شیوه ها ترسیم می شود، مدت زمانی را که سازمان شما صرف مدیریت روابط شخص ثالث می کند، به حداقل برساند. ما می توانیم به شما کمک کنیم تا به طور مداوم وضعیت امنیتی فروشندگان خود را در طول زمان نظارت کنید و در عین حال آنها را با صنعت خود مقایسه کنید.

هر فروشنده بر اساس 50+ معیار مانند وجود SSL و DNSSEC و همچنین خطر ربودن دامنه، حملات man-in-the-middle و جعل ایمیل برای فیشینگ رتبه بندی می شود.

هر روز، پلتفرم ما به فروشندگان شما امتیاز امنیت سایبری از 950 امتیاز می دهد. در صورت کاهش امتیاز آنها به شما هشدار خواهیم داد.

UpGuard BreachSight می تواند به نظارت بر DMARC، مبارزه با اشتباهات تایپ، جلوگیری از نقض داده ها و نشت داده ها، جلوگیری از جریمه های نظارتی و محافظت از اعتماد مشتری از طریق رتبه بندی امنیت سایبری و تشخیص مداوم، کمک کند.