تست نفوذ (Penetration Testing) چیست؟

تست نفوذ، که به آن پن تست «Penetration Testing» هم می‌گویند، حمله‌ی مجازی شبیه‌سازی‎‌شده‌ای است که روی سیستم رایانه‌ای‌تان پیاده‌سازی می‌شود. این شبیه‌سازی به کشف نقاط آسیب‌پذیری که امکان سوءاستفاده از آن‌ها وجود دارد و هم‌چنین آزمایش نقص امنیتی فناوری اطلاعات کمک می‌کند.

با انجام تست نفوذ، کسب‌وکارها می‌توانند از یک شخص ثالث بازخوردی تخصصی و بی‌طرفانه درباره‌ی فرآیندهای امنیتی خود بگیرند. ممکن است تست نفوذ زمان‌بر و پرهزینه باشد، اما می‌تواند مانع از نقص‌های امنیتی به‌شدت پرهزینه و آسیب‌زا شود. 

چگونه می‌توان تست نفوذ را انجام داد؟

تست نفوذ امنیت شبکه را به چالش می‌کشد. با توجه به ارزشی که شبکه‌ی کسب‌وکار دارد، کسب‌وکارها باید قبل از تست نفوذ با متخصصین مشورت کنند. متخصصین باید اطمینان یابند که این تست به شبکه آسیب نمی‌رساند و می‌تواند دیدگاه بهتری در مورد آسیب‌پذیری‌ها فراهم آورد. متخصصین تست نفوذ می‌توانند قبل، حین و بعد از تست نفوذ به کسب‌وکارها کمک کنند تا به نتایج قابل‌استفاده و مفیدی دست پیدا کنند.

آیا تست نفوذ همان ارزیابی نقاط آسیب‌پذیر است؟

تست نفوذ و ارزیابی نقاط آسیب‌پذیر با هم فرق می‌کنند. ارزیابی نقاط آسیب‌پذیر، در درجه‌ی اول یک بررسی و ارزیابی امنیت است. اما تست نفوذ، یک حمله‌ی مجازی شبیه‌سازی‌شده است و اکسپلویت‌های موجود در نقاط آسیب‌پذیر را شناسایی می‌کنند.

آیا تست نفوذ می‌تواند شبکه را نابود کند؟

یکپارچگی شبکه مهم‌ترین دغدغه‌ی کسب‌وکارهایی است که می‌خواهند تست نفوذ را انجام دهند. گروه‌هایی که مسئولیت تست نفوذ را بر عهده دارند، اقدامات ایمنی مختلفی را در نظر می‌گیرند تا هرگونه تأثیر بر شبکه را محدود کنند.

کسب‌وکارها و متخصصین تست نفوذ قبل از انجام این کار، در همکاری با یکدیگر دو فهرست تهیه کنند: فهرست فعالیت‌ها و فهرست دستگاه‌هایی که قرار است مستثنی شوند. فعالیت‌های مستثنی می‌توانند شامل تاکتیک‌هایی مانند حمله‌ی عدم پذیرش سرویس(DoS) باشند. چنین حمله‌هایی می‌تواند شبکه را به‌کل از بین ببرد. به همین دلیل ممکن است برخی کسب‌وکارها بخواهند اطمینان یابند تست نفوذ شامل آن نمی‌شود.

هک قانونمند یا هک اخلاقی چیست؟

هک قانونمند همان تست نفوذ در زمینه‌ای تجاری است. اساساً در تست نفوذ، سازمان را هک می‌کنند تا مسائل امنیتی آن را شناسایی کنند. برخی افراد اقدام به هک با مقاصد سیاسی را هک اخلاقی یا هکتیویسم می‌خوانند. اما هرگونه اقدام غیرمجاز برای هک، مخرب و غیرقانونی است. تست نفوذ با رضایت کسب‌وکار و متخصص انجام می‌شود.

انواع تست نفوذ

• زیرساخت شبکه

حمله به زیرساخت شبکه‌ی یک کسب‌وکار، متداول‌ترین نوع تست نفوذ است. تست نفوذ می‌تواند روی زیرساخت‌های داخلی متمرکز باشد، مانند دور زدن سیستم جلوگیری از نفوذ نسل بعدی(NGIPS). هم‌چنین می‌تواند بر زیرساخت‌های خارجی شبکه تمرکز داشته باشد مانند دور زدن فایروال‌های خارجی که پیکربندی ضعیفی دارند.

در آزمایش داخلی، ممکن است کسب‌وکارها به دنبال آزمایش سیاست‌های بخش‌بندی«segmentation policies»خود باشند، در این صورت مهاجم حرکت جانبی در سیستم را مدنظر قرار خواهد داد. در آزمایش خارجی، مهاجم بر روی محافظ‌های بیرونی تمرکز می‌کند، برای مثال سعی می‌کند فایروال نسل بعدی (NGFW) را دور بزند.

حملات شبکه می‌توانند شامل دور زدن سیستم‌های حفاظت نقطه‌ی پایانی«Endpoint Protection Systems»، رهگیری ترافیک شبکه، آزمایش روترها، سرقت اطلاعات هویتی، اکسپلویت خدمات شبکه، کشف دستگاه‌های قبلی و برنامه‌های کاربردی اشخاص ثالث و مواردی از این دست باشند.

• برنامه‌های کاربردی تحت وب

همان‌طور که از نامش پیدا است، این آزمون روی تمام برنامه‌های کاربردی تحت وب تمرکز دارد. ممکن است برنامه‌های تحت وب هم‌پوشانی‌هایی با خدمات تحت وب داشته باشند اما آزمون برنامه‌های تحت وب بسیار دقیق‌تر، فشرده‌تر و زمان‌برتر است.

کسب‌وکارها بیش از هر زمان دیگری از برنامه‌های کاربردی تحت وب استفاده می‌کنند که بسیاری از آن‌ها پیچیده و در دسترس عموم هستند. در نتیجه، بیشتر حملات خارجی از طریق برنامه‌های کاربردی تحت وب انجام می‌شوند. برخی برنامه‌های کاربردی تحت وب از سمت سرور و برخی دیگر از سمت سرویس‌گیرنده آسیب‌پذیر هستند. در هر صورت، برنامه‌های کاربردی تحت وب سطح حمله را برای بخش‌های فناوری اطلاعات بالا می‌برند.

تست‌های برنامه‌های کاربردی تحت وب، علی‌رغم پرهزینه و زمان‌بر بودن، اهمیت بالایی برای کسب‌وکار دارند. از جمله مشکلات مربوط به برنامه‌های کاربردی تحت وب می‌توان به حمله تزریق به پایگاه داده«SQL Injection»، تزریق بین‌سایتی اسکریپ«Cross Site Scripting» احراز هویت ناامن و رمزنگاری ضعیف اشاره کرد.

• بی‌سیم

تست بی‌سیم به دنبال آسیب‌پذیری‌های شبکه‌های بی‌سیم می‌گردد. تست نفوذ بی‌سیم به دنبال شناسایی و سوءاستفاده از پیکربندی‌های ناامن شبکه‌ی بی‌سیم و احراز هویت‌های ضعیف است. پروتکل‌های آسیب‌پذیر و پیکربندی‌های ضعیف می‌توانند امکان دسترسی کاربران خارج از ساختمان به شبکه سیم‌کشی‌شده‌ی داخلی را فراهم کنند.

علاوه بر آن، اکنون کسب‌وکارها بیش از هر زمان دیگری از دستگاه‌های تلفن همراه استفاده می‌کنند، اما برای ایمن‌سازی آن‌ها مشکل دارند. تست نفوذ بی‌سیم در تلاش است تا از کارمندان شرکت که از دستگاه‌های خود در شبکه‌های مهمان ناامن و باز استفاده می‌کنند، سوء استفاده کند.

• مهندسی اجتماعی

تست‌های مهندسی اجتماعی حملات رایج مهندسی اجتماعی مانند فیشینگ، طعمه‌گذاری«Baiting»و بهانه‌سازی«Pretexting»را شبیه‌سازی می‌کنند. هدف از این حملات هدایت کارکنان برای کلیک روی یک لینک یا انجام اقداماتی است که شبکه‌ی آن کسب‌وکار را به‌خطر می‌اندازند. اغلب، کلیک روی پیوند باعث اجازه‌ی دسترسی، دانلود بدافزار یا افشای اطلاعات احراز هویت می‌شود.

تست مهندسی اجتماعی می‌تواند نشان دهد کارکنان یک کسب‌وکار چقدر نسبت به چنین حملاتی آسیب‌پذیر هستند. اشتباهات کوچک کارکنان می‌تواند امکان دسترسی اولیه‌ی مهاجمان به شبکه‌ی داخلی کسب‌وکار را فراهم کند.

• فیزیکی

در آخر، کسب‌وکارها می‌توانند یک تست نفوذ فیزیکی انجام دهند که بر امنیت فیزیکی سازمانشان متمرکز است. در طی این آزمون، مهاجم تلاش می‌کند به ساختمان دسترسی پیدا کند یا اسناد و اعتبارنامه‌های دور ریخته‌شده‌ای را پیدا کند که می‌توان از آن‌ها برای به خطر انداخن امنیت شرکت استفاده کرد. ممکن است مهاجم پس از ورود به ساختمان سعی کند با استراق سمع یا مخفی کردن دستگاه‌های غیرقانونی در دفاتر، اطلاعاتی را برای دسترسی از راه دور به شبکه‌ی داخلی کسب‌وکار جمع‌آوری کند.

فناوری اطلاعات معمولاً بر امنیت دیجیتال تمرکز دارد اما اگر کسب‌وکار اجازه‌ی دسترسی به ساختمان را فراهم کند یا اطلاعات را برای افراد خارجی فاش کند، ابزارهای محافظت از شبکه نمی‌توانند مفید باشند. به عنوان مثال، ممکن است یک کارمند به شخصی اجازه‌ی ورود به ساختمان را بدهد یا رمز عبور وای‌فای را در اختیارش قرار دهد بدون آن‌که بررسی کند این شخص که اجازه‌ی دسترسی می‌خواهد یک کارمند است یا خیر.