تست نفوذ (Penetration Testing)

امروزه يکي از رويکردهاي متداول به جهت حصول اطمينان از قرار گرفتن سازمان در يک سطح قابل قبول امنيت اطلاعاتي، اجراي تست­ هاي نفوذپذيري در زيرساخت فناوري اطلاعات سازمان است. بدين ترتيب، در اين رويکرد، متخصصين نفوذهاي امنيتي، با اطلاع­ رساني به مراجع ذي­ربط سازماني، بدون اين­که آسيبي به زيرساخت فناوري اطلاعات سازماني وارد نمايند، با استفاده از روش­ ها و راهکارهاي خاص، اقدام به نفوذ در زيرساخت سازمان را مي­ نمايند و بدين ترتيب، به صورت زنده به کشف آسيب­ پذيري­ ها و شکاف­ هاي امنيتي سازماني مي­ پردازند.

مزاياي اجراي تست­ هاي نفوذپذيري در رويکردي که باعث انجام اين تست­ ها مي­شود نهفته است. به طور کلي، اجراي تست­ هاي نفوذپذيري، شناسايي عملياتي آسيب­پذيري­ هاي موجود در معماري زيرساخت فناوري اطلاعات نظام­ هاي کسب و کاري است که اجراي اين تست­ها داراي مزاياي متعددي براي سازمان مي ­باشد. از مهم­ ترين مزاياي اجراي تست­هاي نفوذپذيري مي ­توان به موارد زير اشاره نمود:

  • ارزيابي سطح امنيت در زيرساخت فناوري اطلاعات
  • شناسايي و طبقه­ بندي تهديدات و آسيب­ پذيري ­هاي موجود
  • شناسايي و طبقه­ بندي ضررهاي مالي و غيرمالي در صورت بروز حملات امنيتي به بخش­ هاي مختلف
  • شناسايي سطح دشواري نفوذ و شناسايي پيچيدگي­ هايي که يک حمله به جهت نفوذ موفق به هر کدام از بخش­ هاي فناوري اطلاعات دارد
  • پيش­ بيني رفتارهاي حمله کنندگان و نفوذگران امنيتي
  • اولويت­ بندي نيازمندي­ هاي امنيتي و مديريت هزينه­ هاي برطرف نمودن آسيب­ پذيري­ ها
  • جلوگيري و برطرف نمودن عوامل امنيتي که باعث ايجاد اختلال در سطح سرويس­ هاي کسب و کاري سازمان مي­ شوند
  • ارائه اطلاعات و داده­ هاي عملياتي و زنده به جهت بهينه­ سازي فرايندهاي مديريت ريسک

 

در تعيين و انجام شرح فعاليت­ هاي مورد نياز به جهت انجام تست ­هاي نفوذپذيري، فاکتورهاي پايه ­اي وجود دارند که مي­ توانند بر نحوه انجام اين تست­ ها تأثيرگذار باشند. اين فاکتورها و عوامل مي­ توانند رويکرد و نگرش کلي نسبت به انجام تست نفوذ را تغيير دهند. به طور کلي 3 فاکتور کلي، بر روي نحوه انجام تست­ هاي نفوذ پذيري تأثيرگذار مي ­باشد، که لازم است پيش از اجراي اين تست­ ها، با توجه به سياست­ ها، نيازمندي­ ها و محدوديت ­هاي کارفرما، به صورت دقيق مشخص گردند. در ادامه به تشريح اين عوامل خواهيم پرداخت:

سطح اطلاعاتي که در اختيار نفوذگران قرار داده م ي­شود: اين فاکتور که تعيين کننده­ترين عامل از عوامل تعيين روش اجراي تست ­هاي نفوذپذيري به شمار مي­ رود، از جايگاه و اهميت ويژه ­اي برخوردار است، چرا که علاوه بر تأثيرگذاري آن بر روي روش عملياتي تست، بسيار بسيار وابسته به سياست­هاي بدنه کارفرمايي است.

به طور کلي سطح اطلاعاتي که از معماري زيرساخت فناوري اطلاعات، در اختيار نفوذگران قرار داده مي­ شود، مي­تواند به صورت کامل و با جزييات و دقت کامل باشد و يا هيچ گونه اطلاعاتي در اختيار نفوذگران قرار داده نشود و يا حتي، متناسب با سياست­ ها و محدوده انجام تست نفوذپذيري مي­ تواند بخشي از اطلاعات موجود در اختيار نفوذگران قرار گيرد.

تعيين نقاط دسترسي به جهت اجراي عمليات نفوذ: يکي ديگر از عوامل تأثيرگذار، ماهيت نقاط دسترسي به شبکه و زيرساخت ارتباطي فناوري اطلاعات سازمان است. در اين خصوص، يکي از رويکردها، ايجاد دسترسي از محيط بيرون و از طريق شبکه اينترنت و به وسيله سرويس­هايي است که (مانند سرويس­هاي مربوط به وب سرور) امکان دسترسي به آن­ها از طريق شبکه عمومي اينترنت امکان­پذير است.

در رويکرد دوم نيز، نفوذگران از طريق شبکه ­هاي ارتباطي داخلي زيرساخت فناوري اطلاعات سازمان متصل مي ­گردند و فعاليت­ هاي نفوذ را انجام مي­ دهند. در بسياري از موارد، بسته به سياست­ ها و نيازمندي­ هاي کارفرمايان، پيشنهاد مي­گردد تا تست ­هاي نفوذ هم از محيط داخلي و هم از محيط خارجي انجام پذيرد.

ميزان آگاهي و مشارکت نمايندگان کارفرما در مراحل مختلف اجراي تست نفوذپذيري: يکي ديگر از عوامل تعيين کننده در نحوه اجراي تست­ هاي نفوذپذيري، نحوه اطلاع­ رساني به کارفرما و نحوه در جريان قرار دادن نمايندگان کارفرما از فعاليت­ هاي در حال انجام است.

علاوه بر 3 فاکتور اساسي و بنياديني که در بالا به آن­ها اشاره گرديد، با توجه به نيازمندي­ ها و سياست­ هاي کارفرما، عوامل تأثيرگذار ديگري نيز وجود دارد که نسب به سه فاکتور بالا، از اهميت و حساسيت پايين­ تري برخوردار هستند، ولي در نحوه انجام فعاليت­ هاي اجراي تست ­هاي نفوذپذيري داراي اهميت هستند.

از اهم اين موارد مي­توان به محدوده و قلمرو تست نفوذ، که در آن اجزايي از زيرساخت فناوري اطلاعات که مي­ بايست مورد تست قرار گيرند مشخص مي­گردد، سطح نفوذ، که در آن به عمق و پيشروي فعاليت ­هاي مربوط به تست نفوذ اشاره مي­شود، تکنيک­ هاي نفوذ، که در آن خصوصيات فني نحوه اجراي تست و ابزارهاي مورد استفاده در تست نفوذپذيري مشخص مي­گردد، و... اشاره نمود.

در ادامه به شرح توانمندي­ هاي شرکت، در خصوص اجراي تست­ هاي نفوذپذيري در قالب مراحل و فازهاي مورد نياز پرداخته خواهد شد. بديهي است که معيارهاي بيان شده در فوق، مي­ تواند تأثيرات زيادي بر روي اين شرح خدمات داشته باشد. بدين ترتيب، لازم است تا پيش از اجراي تست نفوذپذيري، اين شرح خدمات مطابق با سياست­ ها، محدوديت ­ها و نيازمندي ­هاي هر کارفرما، بومي­ سازي گردد.

 

   جمع آوري اطلاعات به صورت غير فعال (Reconnaissance)

  • جمع آوري اطلاعات در رابطه با ماهيت و حرفه نظام کسب و کاري
  • جمع آوري اطلاعات در رابطه با مقياس و گستره فيزيکي 
  • جمع آوري اطلاعات در رابطه با تغييرات اخير
  • جمع آوري اطلاعات در رابطه با دسترسي­هاي عمومي به زيرساخت فناوري اطلاعات
  • جمع آوري اطلاعات در رابطه با نحوه و نوع سرويس­هاي ارتباطي عمومي و خصوصي زيرساخت فناوري اطلاعات
  • تعيين ساير اطلاعات غير فني مورد نياز
  • جمع آوري اطلاعات با استفاده از تکنيک­هاي مهندسي اجتماعي
  • مستندسازي اطلاعات به دست آمده

   جمع آوري اطلاعات به صورت فعال (Assets Scanning)

  • جمع آوري آدرس­هاي لايه سه­اي مورد استفاده
  • تعيين نقش و جايگاه آدرس­هاي لايه سه­اي مورد استفاده
  • شناسايي آدرس­هاي مربوط به تجهيزات زيرساختي ارتباطات شبکه و تعيين معماري هم­بندي و توپولوژي
  • شناسايي آدرس­هاي مربوط به سرورها و سرويس­دهنده­ها
  • شناسايي بازه­هاي آدرس­دهي مربوط به کاربران و کلاينت­ها
  • شناسايي سيستم عامل­هاي مربوط به تجهيزات زيرساختي شبکه، سرورها و کلاينت­ها
  • شناسايي پورت­ها و سرويس­هاي باز بر روي تجهيزات زيرساختي شبکه، سرورها و کلاينت­ها
  • شناسايي نقش و جايگاه تجهيزات و راهکارهاي امنيتي به کار گرفته شده
  • جمع آوري اطلاعات با استفاده از تکنيک­هاي Enumeration
  • جمع آوري اطلاعات از روي ترافيک شبکه و با استفاده از Snifferها
  • مستندسازي اطلاعات به دست آمده

   شناسايي آسيب­پذيري­هاي تجهيزات زيرساختي شبکه

  • کشف آسيب­پذيري­هاي تجهيزات سوييچينگ و ارتباطات لايه دويي
  • کشف آسيب­پذيري­هاي تجهيزات مسيريابي و ارتباطات لايه سه­اي
  • کشف آسيب­پذيري­هاي تجهيزات سياست­گذاري امنيتي مانند Firewall، UTM و...
  • کشف آسيب­پذيري­هاي تجهيزات شناسايي وقايع امنيتي مانند IDS/IPS و...
  • کشف آسيب­پذيري­هاي ارتباطات خصوصي مانند VPN و...
  • کشف آسيب­پذيري­هاي تجهيزات  ارتباطات بي­سيم
  • مستندسازي اطلاعات به دست آمده

   شناسايي آسيب­پذيري­هاي سيستم­هاي عامل و سرويس­ها

  • کشف آسيب­پذيري­هاي سيستم­هاي عامل تجهيزات زيرساختي شبکه
  • کشف آسيب­پذيري­هاي سيستم­هاي عامل کلاينت­ها و کاربران
  • کشف آسيب­پذيري­هاي سيستم­هاي عامل ساير نودها مانند پرينتر، اسکنر و ...
  • کشف آسيب­پذيري­هاي زيرساخت مجازي­سازي
  • کشف آسيب­پذيري­هاي سيستم­هاي عامل سرورها و سرويس­دهندگان مبتني بر Windows
  • کشف آسيب­پذيري­هاي سيستم­هاي عامل سرورها و سرويس­دهندگان مبتني بر Linux
  • کشف آسيب­پذيري­هاي سرويس­هاي عمومي مانند DHCP، DNS، FTP و...
  • کشف آسيب­پذيري­هاي سرويس­هاي تحت وب
  • کشف آسيب­پذيري­هاي سرويس­هاي اي ميل
  • کشف آسيب­پذيري­هاي سرويس­هاي پايگاه داده­اي شامل SQL و...
  • کشف آسيب­پذيري­هاي سرويس­هاي ارزش افزوده مانند VoIP، Video و...
  • مستندسازي اطلاعات به دست آمده

   تحليل وضعيت آسيب­پذيري­ها

  • تحليل وضعيت آسيب­پذيري در مقابل حملات مبتني بر ويروس، تروژان و ساير فايل­هاي مخرب
  • تحليل وضعيت آسيب­پذيري در مقابل حملات DOS و DDOS
  • تحليل وضعيت آسيب­پذيري در مقابل حملات System Hijacking و Session Hijacking
  • تحليل وضعيت آسيب­پذيري در مقابل حملات کشف کلمات عبور و ارتقاء سطح دسترسي
  • تحليل وضعيت آسيب­پذيري در مقابل حملات Spoofing
  • مستندسازي اطلاعات به دست آمده

   ارائه پيشنهاد به جهت برطرف نمودن آسيب­پذيري­ها

  • تحليل جامع اطلاعات به دست آمده از تمامي فازها
  • تحليل آسيب­پذيري­هاي امنيتي موجود در تناسب با حساسيت نظام کسب و کار
  • ارائه راهکارهاي پيشنهادي به جهت برطرف نمودن آسيب­پذيري­ها
  • اولويت­بندي راهکارها از لحاظ درجه ريسک و اهميت بخش­هاي مختلف براي نظام کسب و کاري
  • ارائه طرح مفهومي در خصوص چگونگي برطرف نمودن آسيب­پذيري­هاي موجود