تست نفوذ پذیری
تحلیل امنیتی شبکه و آزمون (تست) نفوذ PenTest
تست نفوذ یا آزمون نفوذپذیری (Penetration Test) روشی برای تخمین میزان امنیت یک شبکه ، سایت و یا نرم افزار و سامانه تحت وب است که با شبیه سازی حملات یک حمله‌کننده (هکر) صورت می‌گیرد.
آزمون نفوذ عبارتست از کشف راه ها و بررسی روش‌های دسترسی غیر مجاز به منابع حساس و اطلاعات محرمانه‌ی سازمان ها، در کوتاه‌ترین زمان ممکن.
هدف از انجام آزمون‌های نفوذ، پی بردن به نقاط ضعف موجود در سامانه‌ها و زیرساخت شبکه و ارائه‌ی راهکارهای مناسب برای برطرف نمودن آنها است که در صورت لزوم با بکار گیری استاندارهای بین الملی امنیت، شبکه را در برابر تهدیدات بتوانیم محافظت کنیم و رویکرد پیشگیرانه در برابر حملات داشته باشیم.
در فرآیند آزمون نفوذ، تیم آزمون‌گر علاوه بر داشتن نگاه مستقل به هر آسیب‌پذیری، به ترکیب آنها برای شبیه‌سازی یک سناریوی واقعی نیز توجه دارد. این امر باعث به وجود آمدن شناخت دقیق‌تر از خسارات احتمالی می‌شود، که ممکن است در اثر بروز رخدادهای رایانه‌ای به سیستم‌های اطلاعاتی و شبکه‌ی سازمان تحمیل گردد.
محدوده اجرای عملیات تست نفوذ و تحلیل امنیتی شبکه:
- تجهیزات فعال شبکه (سوییچ ها ، روترها ، سرورها ، ذخیره سازها)
- سرویس های نرم افزاری شبکه، سیستم عامل ها، سامانه های تحت وب-تحت موبایل- بانک های اطلاعاتی و وب سایت
- سرویس های زیر ساخت مجازی سازی
از لحاظ جایگاه تیم آزمون‌گر، آزمون های نفوذ را می توان به دو دسته‌ی زیر تقسیم نمود:
- آزمون نفوذ خارجی
- آزمون نفوذ داخلی
باتوجه به دسترسی‌های فراهم شده برای تیم آزمون نفوذ، انجام هر یک از روش‌های فوق می‌تواند به اشکال زیر صورت پذیرد:
- آزمون جعبه سیاه(Black Box)
- آزمون جعبه خاکستری(Gray Box)
- آزمون جعبه سفید(White Box)
تست نفوذ پذیری
در اين مرحله متخصصان امنيت شبكه ما آزمايشي را با عنوان “تست نفوذ پذيري” بر روي سرورها و يا شبكه شما انجام مي دهند و سپس با ارائه گزارشي از حفره هاي امنيتي موجود در شبکه و سرورها ، شما را در جريان معايب امنیتی زیرساخت ها مي گذارند.
تامين امنيت سرور
در اين مرحله متخصصان ما با تكيه بر گزارش حاصل از تست نفوذ، امنيت سرور مذكور را تامين مي كنند كه اصلاح كليه باگ هاي زير را شامل مي شود :
- Cross-Site Scripting (XSS)
- Remote File Inclusion
- Remote Command Execution
- Information
- SQL Injection
- Session Hijacking
- Sniffing
- Man-in-the-middle Attack
- Permission Local Access Vulnerability
پشتيباني امنيتي سرور
اطلاعات به هر وسيله اي كه ذخيره شود يا مورد اشتراك قرار گيرد، بايد به طور مناسب محافظت گردد .
- امنيت اطلاعات، حفاظت از سه اصل بنیادی را شامل می شود:
الف) محرمانگي Confidentiality :
تضمين اينكه اطلاعات تنها براي آنها كه مجازند قابليت دسترسي دارد.
ب) يكپارچگي Integrity :
حراست از صحت وكامل بودن اطلاعات وجلوگيري از تغييرات ناخواسته در اطلاعات
ج) قابليت دسترسیAvailability :
تضمين اينكه افراد مجاز در وقت لزوم به اطلاعات ودارائي هاي مشترك دسترسي دارند.
جزئیات برخی از تست های امنیتی:
- بررسی امنیتی پروتکل Authentication مورد استفاده
- بررسی ذخیره سازی ایمن کلمات عبور در پایگاه داده
- بررسی ایمنی الگوریتم‌های Hash و رمزنگاری متقارن یا نامتقارن مورد استفاده
- بررسی خط مشی امنیتی در رابطه با کلمات عبور
- بررسی خط مشی امنیتی در رابطه با Access Control
- بررسی خط مشی امنیتی در رابطه با Authorization
- بررسی ایمنی از لحاظ حمله SQL Injection
- بررسی ایمنی از لحاظ حمله Cross Site Scripting
- بررسی سایر حملات IVA شامل LDAP Injection ، XPath Injection و Command Execution
- بررسی نحوه Exception Handling در نرم افزار و نشت اطلاعات به کاربر
- بررسی وجود مکانیزم Logging و ثبت وقایع برای رخدادهای مهم در سیستم
- Bind کردن IP به Session برای افزایش امنیت
- Timeoutهای درست
- بررسی مدیریت درست نشست در هنگام کار با صفحات مختلف (Back-Next)
- معماری ایمن شبکه(تعریف درست Zoneها و قواعد دسترسی با توجه به تهدیدات موجود)
- پیکربندی درست دیواره آتش
- ایمن بودن تجهیزات شبکه (کلمه عبور، Update بودن و غیره)
- مکانیزم Authentication مناسب
- تعریف درست مجوزها و کاربران در داخل DBMS
- ارتباط امن نرم افزار با DBMS
- بررسی آسیب پذیری ها و امکان Exploit آنها
- بررسی کلیه‌ی آسیب پذیری‌های شناخته شده در هر سیستم عامل
- بررسی Minimize بودن سیستم ها
- بررسی ایمن بودن کلمات عبور
- سایر کنترلهای امنیتی تا حد زیادی وابسته به نوع سیستم عامل هاست
گزارش تست نفوذ پذيري
در نهایت پس از طي موارد نامبرده و تست روش هاي مختلف نفوذ، گزارش نهايي در قالب تمامی حفره هاي امنيتي موجود و ميزان بحرانی بودن آنها و راهکارهای جلوگیری و اصلاح حفره های امنیتی بصورت مکتوب قابل ارائه به سازمان مربوطه می باشد.
