تست نفوذ و بررسی امنیتی آن

شرکت پاوان تست نفوذ را نوعی هک کردن توافقی می داند.

تست نفوذ روشی است که شرکت ها و سازمان برای سنجش میزان امنیت شبکه یا محصولات خود انجام می دهند. آنها برای اطمینان از امنیت محصولات خود مثل محصولا شبکه, نرم افزار مثل مرورگر ها, اپلیکیشن ها, سایت ها انواع آزمون نفوذ پذیری سخت افزاری و نرم افزار بر روی آنها انجام می دهند. تا نقاط ضعف و حفره های امنیتی را شناسایی و برطرف سازند.

طی سال های اخیر شرکت های مختلف برای کشف حفره امنیتی در محصولات خود جایزه تعیین کرده اند. نمونه آن جایز 10 هزار دلاری شرکت موزیلا برای کشف حفره امنیتی در مرورگر فایرفاکس بود.  و اخیرا هم تلگرام برای هک اپلیکیشن خود جایزه 300 هزار دلاری تعیین کرد.

انجام آزمون نفوذ پذیری برای تمامی ابزار تکنولوژی و اپلیکیشن ها و شبکه های کامپیوتر متصل به اینترنت ضروری است. شاسایی حفره امنیتی برای دیتا سنتر یک سازمان بزرگ از سوی هکرها می توانند تمامی اطلاعات و زحمات آنها را نابود سازد.

معمولا شرکت ها و سازمان از هکرها و شرکت های امنیتی برای کشف حفره امنیتی و نفوذ پذیری می خواهند تا بر رو یسیستم, نرم افزار یا شبکه سازمان تست نفوذ انجام دهند.

البته برای تست نفوذ با توجه به ارزش شبکه یا سیستم مد نظر باید مبلغ بالایی را پرداخت کرد. کشف یک حفره امنیتی در یک سیستم یا نرم افزار می تواند ارزش آن را پایین بیاور و حتی منجر به از دست رفتن مشتریان آن گردد. برای تامین امنیت باید تمامی راه های نفوذ را شناسایی و مسدود کرد.

امروز انواع تست نفود توسط متخصصین وشرکت های امنیتی انجام می شود.

شرکت ها نرم افزار ی و سخت افزاری محصولات خود قبل از ارائه مورد بررسی و تست نفوذ قرار می دهند. بعضی از آنها پس از ارائه برای امنیت بیشتر جایزه نفوذ و شناسایی حفره امنیتی تعیین می کنند. بعضی هم مشابه مایکروسافت مجبورند دائما محصولات خود را مورد آزمون نفوذ فرار دهند.

تست نفوذ نرم افزار های کامپیوتر – اپلیکیشن ها – حتی خود سیستم عامل

تست نفوذ بر روی شبکه های کامپیوتر – دیتاسنتر – یا اینترنت یک سازمان بزرگ مثل تاسیسات هسته ای – شبکه های بانکی

تست نفوذ سایت و شبکه های اجتماعی

تست نفوذ سخت افزار کامپیوتر و شبکه مثل مودم ها و فایروال ها و..

حتی تست نفوذ ابزار امنیت شبکه

هر کدام از این ها بر حسب میزان ارزش و تعداد کاربر حساسیت خاص خود را دارد.

روش های انجام تست نفوذ:

تست نفوذ جعبه سیاه: بدون داشتن هیچ اطلاعاتی

تست نفوذ جعبه سیاه روشی است که در آن تست‌کننده بدون داشتن هیچگونه اطلاعات قبلی در مورد سیستم انجام می‌دهد. این نوع تست نفوذ بیشتر از راه دور انجام می گیرد. برای مثال شما بدون داشتین هیچ گونه اطلاعات از محیط داخل برنامه یا یک سیستم اقدام به تست نفوذ می کند. نمونه آن جایزه برای کشف حفره امنیی تلگرام و نفوذ به آن – بدون آنکه مدیران تلگرام اطلاعاتی از داده های برنامه در اختیار کسی قرار دهند.

آزمون جعبه سفید: داشتن اطلاعات کامل

و تست جعبه سفید یا تست شفاف (transparent box testing) روشی است که در آن تست کننده مشخصات کامل سیستم را در اختیار دارد. برای مثال تمامی ابزار مورد استفاده یک سیستم شامل نرم افزار , سخت افزار, کد نویسی و .. در اخیتار متخصص امنیتی قرار می گیرد.

تست جعبه خاکستری: اطلاعات کم

تست نفوذ به روش جعبه خاکستری در آن تنها بخشی از اطلاعات در اختیار تست‌کننده قرار می‌گیرد که به جعبه خاکستری (Gray-box) معروف‌است. مثلا ما به شما می گوییم که سیستم مدیر فلان سایت وردپرس هست. اما اجازه مشاهده آن را به شما نمی دهیم.

برای تست نفوذ باید تمامی راه های نفوذ را شناسایی کرد. مثلا بررسی و جلوگیری از هک شبکه اینترنت یک سازمان بزرگ:

ایمیل ها, سخت افزار شبکه, سایت ها, پروتکل مورد استفاده http یا https , حساب های کاربری, فعالیت اعضا, سخت افزار کامپیوتر, سرورهای مورد استفاده, شرکت ارائه اینترنت ISP و صدها مورد دیگر همگی می تواند حفره امنیتی ایجاد کند. شناسایی این همه واقعا نیازمند کار گروهی هست. هر یکی از موارد نیازمند متخصص امنیتی خاص خود هست.

خطرات تست نفوذ:

تست نفوذ خطرات خاص خود را هم دارد. باید به گروه ها و شرکت های امنیتی که از آن تست نفوذ می خواهید اطمینان داشته باشید. آنها ممکن است چندین حفره امنیتی بر روی سیستم شما پیدا کنند. اما فقط چند مورد از آنها را به شما بگویند و برطرف سازند و اینکه در آینده از حفره ای دیگر جهت سوء استفاده یا ضربه زدن به سازمان شما استفاده کنند.

یکی از مشاغل پردرآمد برای هکر ها انجام تست نفوذ بر روی نرم افزار ها, اپلیکیشن ها, شبکه اینترنت یک سازمان و یا سیستم بانکی و .. می باشد. آنان بدون اینکه کسی به آنها درخواست دهد. خودشان حفره امنیتی پیدا می کنند. و با سازمان مربوط تماس می گیرند که فلان نرم افزار یا سیستم شما دارای حفره امنیتی است. البته با مدرک و دلیل و نمایش اطلاعات هک شده! سپس از آن سازمان تقاضا می کند تا برطرف سازی این حفره امنیتی و نفوذ پذیری مبلغی به آنها پرداخت شود. به عبارتی این نوع از تست نفوذ جنبه تا حدودی جنبه تهدید و در عین حال دریافت غرامت توافقی هست.

زیرا شرکت یا سازمان ذکر شده مجبور است برای برطرف کردن حفره امنیتی محصول یا سیستم خود مبلغی را پرداخت کند. و گرنه در صورت افشا شدن ممکن است ضررهای مالی و امنیتی جبران ناپذیری برای آنها به وجود بیاورد.

البته بعضی از شرکت ها و سازمان های بزرگ مثل مایکروسافت, گوگل و .. خود متخصصین امنیتی فوق العاده قوی دارند. که هزاران تست نفوذ بر روی محصولاتشان انجام دهند. هر چند نمی توانند به امنیت صد درصد برسند.

زیرا باز هم افرادی هستند که می توانند حفره و باگ امنیتی کشف یا ایجاد کنند.نمونه آن هک رمز عبور ویندوز هست. که صدها فیلم و روش بر روی اینترنت جهت شکستن قفل ویندوز موجود هست.

در پایان می توانید برای انجام تست نفوذ با شرکت پاوان تماس بگیرید!