تست نفوذ چیست؟
در خدمات «تست نفوذ» فرد یا تیم ارزیاب تلاش می‌کنند در مدت زمان تعیین شده، بیشترین تعداد آسیب‌پذیری در بخش مورد ارزیابی را شناسایی و صحت آن را بررسی و تایید کنند. بخشی از این فرآیند با استفاده از ابزارهای خودکار (مشابه ابزارهای ارزیابی آسیب‌پذیری)، بخشی با ابزارهای نیمه‌خودکار (مانند Burp Suite، Metasploit و غیره) و بخشی دیگر که توسط این ابزارها قابل بررسی نیست به صورت دستی انجام می‌شود.
همچنین تیم یا فرد ارزیاب در تست نفوذ پا را از «ارزیابی آسیب‌پذیری‌ها» فراتر گذاشته و علاوه بر موارد ذکر شده، تلاش می‌کند تا در صورت نیاز آسیب‌پذیری‌های پیدا شده را به منظور بررسی سطح مخاطره یا شناسایی گام‌های بعدی ارزیابی، Exploit کند.
در ادامه، تیم ارزیاب گزارش فعالیت‌ها و یافته‌های خود را با جزییات کامل به سازمان کارفرما ارایه می‌دهد. در نتیجه سازمان به دید عمیق‌تری نسبت به مخاطرات موجود در کسب وکار خود دست پیدا خواهد کرد. تست نفوذ می‌تواند با تمرکز بر دارایی‌های مختلف سازمان مانند سرویس‌های تحت وب، نرم‌افزارهای موبایل، زیرساخت شبکه و غیره اجرا شود.
به طور کلی میتوان مراحل تست نفوذ را به 5 بخش اصلی تقسیم کرد:
برنامه ریزی و شناسایی
در این مرحله هدف و محدوده تست نفوذ، از جمله مشخص‌کردن سیستم‌هایی که قرار است تحت این فرایند قرار بگیرند و روش انجام آن، تعیین می‌گردد.
اسکن
حال، رفتار یک برنامه نسبت به انواع تست‌ها مورد نظارت قرار می گیرد که خود شامل دو مرحله می‌باشد. در تحلیل ایستا کدهای یک اپلیکیشن بررسی می‌شود تا رفتار آن در حالت اجرا پیش‌بینی شود.
در این روش با یک اسکن تمامی کدها بازبینی می‌شود.
در تحلیل پویا کدهای برنامه زمانی که برنامه اجرا شده است مورد بررسی قرار می‌گیرد. به دلیل اینکه با این روش می توان برنامه را به صورت بلادرنگ تحلیل نمود، کاربردی‌تر است.
ایجاد دسترسی
در این مرحله با استفاده از حملات مختلفی همچون تزریق SQL و ایجاد بک دورها، ایرادات برنامه تحت وب مشخص می‌گردد. سپس آزمایش کننده از این ایرادات استفاده کرده و با استفاده از روش هایی مثل دستکاری سطح دسترسی، سرقت داده‌ها و غیره، به اپلیکیشن نفوذ می‌کند. با این کار میتوان میزان آسیب احتمالی این ایراد در صورت بهره جویی را مشخص کرد.
حفظ و تداوم دسترسی
در این بخش، هدف آزمایش‌کننده بررسی امکان حفظ و تداوم دسترسی در صورت سوءاستفاده از آسیب‌پذیری مورد نظر می‌باشد. بررسی مدت زمان حفظ این دسترسی نیز در دستور کار این مرحله قرار دارد زیرا یک بازیگر مخرب می تواند با تداوم دسترسی، سطح دسترسی خود را افزایش دهد.
در واقع هدف اصلی در این مرحله بررسی حملات APT یا تهدید های پیشرفته و مستمر می باشد که در آن مهاجم به سیستم نفوذ کرده و ماه‌ها در آن سیستم باقی می‌ماند و به جمع آوری اطلاعات حساس آن سازمان می‌پردازد.
تجزیه و تحلیل
در نهایت اطلاعات حاصل از تست نفوذ در یک گزارش دسته‌بندی می شود که شامل:
- ایرادات موجود در سیستم که قابل نفوذ و بهره جویی هستند.
- اطلاعات حساسی که می توان طی حملات به آنها دسترسی یافت.
- مدت زمانی که آزمایش کننده توانست بدون اینکه شناسایی شود، در سیستم باقی بماند.
این اطلاعات توسط تیم امنیتی بررسی شده و در نهایت ساختار و زیرساخت امنیتی سازمان دوباره تنظیم می گردد. علاوه بر این اپلیکیشن های دیگر نیز پچ می شوند تا از تهدیدات احتمالی آینده پیشگیری شود.