تست نفوذ

تست نفوذ

 

یکی از مهمترین مسائلی که در سال­های اخیر امنیت اطلاعات در سازمان ها را به چالش کشانده است، نبود سازوکار مناسب و اقداماتی است که مشخص کننده وضعیت امنیت و پایداری آن در سازمان­ها باشد. از این رو تست نفوذ (penetration test) شبکه و سامانه ها یکی از اقدامات کنترلی است که وضعیت امنیتی شبکه و برنامه های کاربردی را بررسی و تحلیل می کند و به سازمان ها کمک می کند تا با شناخت نقاط آسیب پذیر، راه حل های مناسبی را برای بهبود وضعیت امنیت بکار گیرند.در این مقاله سعی شده است تعاریف و اصطلاحات بکار رفته در تست نفوذ را بیان کرده و مراحل و برخی ابزارهای مورد استفاده  در این تست ارائه گردد.

 

تعریف:

تست نفوذ فرآیندی برای شبیه سازی حملات یک هکر یا یک گروه هکر جهت ارزیابی آسیب پذیری های یک رایانه/سرور یا شبکه صورت می­گیرد، این فرآیند بسته به گستردگی شبکه متغیر بوده و می­تواند شامل تست تمام ضعف های امنیتی سرویس ها، معایب فنی یا آسیب پذیری های مختلف باشد. پس از بررسی و استخراج اطلاعات، این اطلاعات در اختیار مدیر سیستم یا تولیدکنندگان آن قرار می­گیرد تا به موقع برای مقابله با آسیب­پذیری های احتمالی، اقدام های لازم صورت گیرد.

مهمترین تفاوت بین هکر و شخصی که تست نفوذپذیری انجام می دهد این است که، تست نفوذپذیری با مجوز و قراردادی که با سازمان یا شرکت امضاء شده است، صورت می گیرد و در نهایت منجر به یک گزارش جامع خواهد شد. هدف از تست نفوذ پذیری شناخت نقاط ضعف به منظور افزایش امنیت سیستم ها توسط تست امنیتی می باشد. اطلاعات و ضعف های امنیتی که در نفوذ پذیری مشخص می شود محرمانه تلقی شده و نباید تا برطرف شدن کامل افشاء شود ولی در مورد هک این رویه و روال وجود ندارد.

 

چرا تست نفوذپذیری انجام می­شود؟

تست نفوذ پذیری در سازمان به دلایل زیر انجام می شود:

  1. یافتن حفره های امنیتی سیستم های مورد استفاده پیش از بهره برداری غیرمجاز دیگران
  2. هکر ها از هر موقعیت زمانی و حفره ای امنیتی، برای نفوذ استفاده می کنند. برخی از آنها به zero-day دسترسی دارند و اغلب از حملات مشخص و قابل جلوگیری استفاده می کنند. تست نفوذ پذیری ، امنیت شبکه را از دیدگاه هکر مورد بررسی قرار می دهد ضعف های امنیتی که در تست نفوذ پذیری مشخص می شود، برای جلوگیری از دسترسی هکرها پوشش داده شده و بر طرف می شوند.
  3. ارائه گزارشاتی از مشکلات به مدیریت سازمان
  4. گروه امنیت در سازمان به نقاط ضعف سیستم آشنایی کافی دارند و تست نفوذ پذیری می تواند این نقاط ضعف را در قالب گزارش و بعنوان فرد سومی که از نتایج این تست سودی نخواهد برد، به مدیریت ارشد سازمان ارائه کرده و تصمیم گیری های امنیتی سازمان را سرعت بخشد.
  5. بازرسی تنظیمات امنیتی
  6. اگر گروهی، کار امن سازی سیستم های سازمان را انجام دهد، تست نفوذپذیری می تواند گزارشی را در مورد نحوه عملکرد این گروه امنیتی ارائه دهد. تست نفوذ پذیری، امنیت شبکه را بیشتر نمی کند، بلکه کنترل کننده وضعیت پیاده سازی امن سیستم ها در سازمان است.
  7. دوره های امنیتی برای کارشناسان بخش شبکه
  8. در جریان تست نفوذ وضعیت امنیت شبکه بررسی شده و مشخص می گردد که کارشناسان شبکه و امنیت سازمان از چه سطح دانشی برخوردار بوده و برای امن سازی از چه روش ها و ابزارهایی استفاده کرده اند همچنین میزان آشنایی کارشناسان با انواع حملات و روش های مقابله سنجیده می شود. لذا می توان به منظور ارتقای دانش و معلومات امنیتی این دسته از کارشناسان سازمان دوره های آموزشی برگزار نمود. این آموزش ها شامل پیکربندی امن شبکه و سیستم ها، شناخت فعالیت ها و ترافیک های مشکوک و مخرب و استفاده از ابزارهای امنیتی خواهد بود.
  9. سنجش امنیتی فناوری جدید
  10. بهترین زمان برای تست فناوری جدید، در هنگام تولید آن است. تست نفوذ پذیری روی فناوری ها و نرم افزار های جدید قبل از ارائه شدن در بازار تجاری، اغلب صرفه زمانی و اقتصادی را به دنبال داشته و موجب کاهش رویه ارتقا و توزیع در بازار می گردد.

 

 

به اشتراک بگذارید... Tweet about this on TwitterShare on FacebookShare on LinkedInEmail this to someonePrint this page
نویسنده: مهندس قیم
تعداد دیدگاه ها: 1
  1. آفاجانی گفت:

    مقاله خیلی خوبی بود . تشکر می کنم اگر مقالات دیگری هم دارید روی سایت بزارید ممنون.

ما را از نظرات خود آگاه سازید

لطفا در صورت تمایل، نظر خود را در مورد مطلب بالا، بنویسید.