تست نفوذ یا تست قلم (pen test)، تلاشی است برای ارزیابی امنیت زیرساخت IT با تلاش بی خطر برای بهره برداری از آسیب پذیری های سیستم. این آسیب پذیری ها ممکن است در سیستم عامل ها، سرویس ها و نقص برنامه ها، تنظیمات نامناسب یا رفتار مخاطره آمیز کاربر نهایی وجود داشته باشد. چنین ارزیابی هایی همچنین در تأیید کارآیی مکانیسم های دفاعی و پایبندی کاربر نهایی به سیاست های امنیتی مفید است.
تست نفوذ معمولاً با استفاده از تکنولوژی های دستی یا خودکار برای به خطر انداختن سیستماتیک سرور ها، نقاط انتهایی، برنامه های وب، شبکه های بی سیم، دستگاه های شبکه، دستگاه های تلفن همراه و سایر نقاط احتمالی در معرض خطر، انجام می شود. هنگامی که آسیب پذیری ها با موفقیت در یک سیستم خاص مورد سوء استفاده قرار گرفتند، آزمایش کنندگان ممکن است سعی کنند با استفاده از سیستم در معرض خطر، سوء استفاده های بعدی را در سایر منابع داخلی راه اندازی کنند، مخصوصا با تلاش برای دستیابی تدریجی به سطوح امنیتی بالاتر و دسترسی عمیق تر به دارایی ها و اطلاعات الکترونیکی.
اطلاعات مربوط به هرگونه آسیب پذیری امنیتی که با استفاده از تست نفوذ با موفقیت مورد استفاده قرار می گیرد، به طور معمول جمع می شود و به مدیران سیستم های IT و شبکه ارائه می شود تا به آن دسته از متخصصان کمک کند تا نتیجه گیری های استراتژیکی به دست آورند و اولویت های مربوط به اصلاح آن ها را تعیین کنند. هدف اساسی تست نفوذ اندازه گیری امکان سنجی سیستم ها یا توافق با کاربر نهایی و ارزیابی عواقب مرتبطی است که این حوادث ممکن است بر منابع یا عملیات درگیر داشته باشد.
ممکن است مفید باشد اگر به تست نفوذ اینگونه نگاه کنید که آیا شخصی می تواند با انجام این کار به خانه شما نفوذ کند یا خیر. تستر های نفوذ که به عنوان هکر های اخلاقی نیز شناخته می شوند، امنیت زیر ساخت های فناوری اطلاعات را با استفاده از یک محیط کنترل شده برای حمله ایمن، شناسایی و بهره برداری از آسیب پذیری ها ارزیابی می کنند.
مطالعه بیشتر
اسکنر های آسیب پذیری سیستم ابزاری خودکار هستند که یک محیط را بررسی می کنند و پس از اتمام کار، گزارشی از آسیب پذیری های کشف شده ثبت می کنند. این اسکنر ها اغلب این آسیب پذیری ها را با استفاده از شناسه های CVE که اطلاعات مربوط به نقاط ضعف شناخته شده را ارائه می دهند، لیست می کنند. اسکنر ها می توانند هزاران آسیب پذیری را کشف کنند، بنابراین ممکن است آسیب پذیری شدید به اندازه کافی وجود داشته باشد که نیاز به اولویت بندی در آن بیشتر باشد. به علاوه این امتیازات شرایط هر محیط IT جداگانه را به حساب نمی آورند. اینجاست که تست های نفوذ وارد کار می شوند.
در حالی که اسکنر های آسیب پذیری، تصویری ارزشمند از نقاط ضعف امنیتی بالقوه سیستم را ارائه می دهند، تست های نفوذ می توانند با در نظر گرفتن اینکه آیا می توان از این آسیب پذیری ها برای دسترسی به محیط شما استفاده کرد یا نه، زمینه های دیگری را ایجاد می کنند. تست های نفوذ همچنین می توانند بر اساس آنچه بیشترین خطر را دارد، اولویت بندی برنامه های اصلاح را انجام دهند.
یکی از بزرگ ترین موانع ایجاد یک برنامه موفقیت آمیز بخش امنیت سایبری، یافتن افراد با صلاحیت و با تجربه مناسب است. شکاف مهارت های امنیت سایبری مسئله ای کاملاً مستند است و داشتن یک متخصص امنیت واجد شرایط، کار آسانی نیست. این امر به ویژه در مورد تست نفوذ صادق است. متأسفانه عوامل تهدید و گروه های مجرمان اینترنتی بسیار زیاد هستند. در نتیجه سازمان ها نمی توانند در شروع انجام تست های مهم قلم تأخیری وارد کنند.
اما حتی با کمبود مهارت نیز مشاغل می توانند با استفاده هوشمندانه از منابعی که به راحتی در دسترس هستند، یک برنامه تست نفوذ قوی بسازند زیرا هر تستی به یک متخصص نیاز ندارد. اعضای تیم امنیتی که ممکن است سابقه تست نفوذ گسترده ای نداشته باشند می توانند از ابزار های تست نفوذ که دارای ویژگی های خودکار هستند، استفاده کنند. از این ابزار ها می توان برای آزمایشی استفاده کرد که اجرای آن آسان است، اما انجام آن به طور منظم مانند اعتبار سنجی آسیب پذیری، جمع آوری اطلاعات شبکه، افزایش امتیاز یا شبیه سازی فیشینگ ضروری است.
البته تستر های متخصص نفوذ هنوز هم بخشی مهم در این تست هستند. برای آزمایشات پیچیده ای که به عمق سیستم ها و برنامه های مختلف نیاز دارند یا تمرینات در حال اجرا با چندین زنجیره حمله و موارد دیگر، شما به یک فرد یا تیم با تجربه بیشتری نیاز دارید. برای آزمایش سناریوی حمله واقع بینانه، شما یک تیم قرمز رنگ می خواهید که از استراتژی ها و راه حل های پیچیده مشابه تکنیک های threat actor استفاده کند.
از طریق تست قلم می توانید قبل از اینکه شخص دیگری حمله را انجام دهد، قابل بهره برداری ترین نقاط ضعف امنیتی را شناسایی کنید. با این حال چیز های زیادی نسبت به عمل واقعی نفوذ وجود دارد. تست نفوذ یک پروژه کاملاً فکری است که از چندین فاز تشکیل شده است:
مهاجمان برای موفقیت بیشتر در تلاش برای دستیابی به هدف خود از ابزار استفاده می کنند. این در مورد تست کنندگان قلم نیز صادق است. نرم افزار تست نفوذ برای تقویت انسان در نظر گرفته شده است، نه جایگزین او. این نرم افزار ها به تستر های نفوذ اجازه می دهند از پس وظایفی که زمان بر است، برآیند. وقتی نوبت به تست نفوذ می رسد، هرگز انتخابی بین ابزار های تست نفوذ در مقابل تستر های نفوذ نیست. در عوض انتخاب ابزار های نفوذ بیشتر به تستر نفوذ کمک شایانی می کند.
تست نفوذ به طور معمول با استفاده از مجموعه ای از ابزار ها که ویژگی های متنوعی را ارائه می دهند، به پایان می رسد. برخی متن باز هستند و برخی دیگر تجاری هستند. برخی از این ابزار ها همان ابزار هایی هستند که مجرمان اینترنتی از آن ها استفاده می کنند و امکان تکرار دقیق حمله را فراهم می کنند. برخی دیگر نیاز های یک هکر اخلاقی را برجسته می کنند و این امکان را می دهد تا بر ویژگی هایی که هدف نهایی را تأیید می کنند، تأیید نقاط ضعف امنیتی بدون تأثیر بر محیط های تولید و اولویت بندی اصلاحات را فراهم کنند.
تیم های امنیتی همچنین برای پیشبرد برنامه های داخلی خود از طریق اتوماسیون استراتژیک به ابزار های تست نفوذ روی آورده اند. اتوماسیون می تواند مهارت تستر های بی تجربه را با wizards بالا ببرد که با اطمینان آن ها را از طریق تست های استاندارد مهم هدایت می کند. تستر های باتجربه می توانند با خودکار کردن برنامه های روزانه، وقت خود را به حداکثر برسانند. بنابراین ابزار تست نفوذ باید ساده، کارآمد، قابل اعتماد و متمرکز باشد.
منبع: coresecurity.com