تست نفوذپذیری

تست نفوذ پذیری

یکی از فعالیتهای مهم کی پاد، بررسی حفره های امنیتی شبکه های کامپیوتری بر اساس تست نفوذپذیری(Penetration Test) میباشد. برای این منظورشرکت کی پاد از نرم افزارها و سخت افزارهای به خصوص در کنار تجربیات چندین ساله کارشناسان خبره خود در زمینه نفوذ به شبکه های کامپیوتری بهره میبرد.

حوزه‌های انجام آزمون‌نفوذ

حوزه های مختلفی توسط شرکت کی‌پاد مورد ارزیابی امنیتی و تست نفوذپذیری قرار می‌گیرند، که دسته‌بندی آنها در زیر آمده است:

  • شبکه های رایانهای
    • شبکه متصل به اینترنت
    • شبکه داخلی
  • شبکههای ارتباطی
    • شبکه های کابلی
    • شبکه های بیسیم
  • نرمافزار
    • مبتنی بر سیستم عامل
    • مبتنی بر وب
  • سخت‌افزار
    • ارزیابی کارایی
    • ارزیابی امنیتی
    • شناسایی آسیب‌پذیری
  • پروتکلهای ارتباطی و رمزنگاری
    • تحلیل پروتکل
    • ارزیابی امنیتی
    • شناسایی الگورتیم
    • رمزگشایی الگوریتم مبتنی بر تحلیل اماری

 

انواع آزمون‌نفوذ

در شرکت پیشگامان کی‌پاد، آزمون‌نفوذ را بر اساس سه ویژگی محل آزمون گر، آگاهی راهبران سیستم از عملیات نفوذ و سطح اطلاعات دردسترس برای انجام آزمون‌نفوذ، تقسیم‌بندی نموده و انجام می‌دهیم.

  • حل آزمون گر
    • آزمون‌نفوذ خارجی: در این آزمون، هیچ اطلاعی از داده‌های درونی سازمان در دسترس نیست و آزمون تنها با اطلاعات جمع‌آوری شده توسط تیم آزمون نفوذ، انجام می‌گیرد.
    • آزمون داخلی: این آزمون در درون سازمان و پشت دیوار آتش صورت می‌گیرد و در هنگام اجرای آن امکان دسترسی به اطلاعات سازمان وجود دارد.
  • آگاهی راهبران سیستم
    • تیم آبی با دانش و رضایت کارکنان فناوری اطلاعات سازمان صورت می‌گیرد. تیم آبی هزینه‌ی کمتری دارد و به صورت متداول‌تری مورد استفاده قرار می‌گیرد.
    • تیم قرمز شامل اجرای یک آزمون‌نفوذ بدون اطلاع کارکنان فناوری اطلاعات سازمان می‌شود ولی سطوح بالاتر از این موضوع آگاه هستند. با استفاده از تیم قرمز علاوه بر امنیت می‌توان واکنش کارکنان فناوری اطلاعات به مخاطرات امنیتی و دانش آنها را نیز مورد بررسی قرار داد.
  • سطح اطلاعات در دسترس
    • آزمون جعبه-سفید: در آزمون جعبه سفید، با تجزیه و تحلیل کد برنامه‌ی هدف، تمام مسیر‌های پنهانی برنامه استخراج شده و آسیب‌پذیری‌ها و خطا‌های منطقی موجود در مسیر‌های برنامه‌ی هدف کشف می‌شود.
      • در این دسته از آزمون‌ها ممکن است آسیب‌پذیری‌هایی گزارش شوند که وجود ندارند، یا به عبارت دیگر دارای مثبت اشتباه باشند.
    • آزمون جعبه-سیاه: برخلاف آزمون جعبه سفید در آزمون جعبه سیاه، هیچ دانشی از کد برنامه‌ی کاربردی وجود ندارد. در این آزمون، ابتدا راه‌هایی که حمله‌کننده می‌تواند به برنامه‌ی هدف ورودی وارد کند، شناسایی شده و سپس، ورودی‌های حمله برای بررسی آسیب‌پذیر بودن هدف، به برنامه تزریق می‌شود. در پایان پاسخ‌ها مورد بررسی قرار می‌گیرند و در صورت موفق بودن، به عنوان یک آسیب‌پذیری گزارش می‌شود.
      • از مزیت‌های آزمون‌های جعبه سیاه نسبت به جعبه سفید می‌توان به وابسته نبودن آنها به کد برنامه و مثبت اشتباه کمتر اشاره کرد.
    • آزمون جعبه-خاکستری: آزمون جعبه خاکستری همان طور که از نامش پیداست ترکیبی از جعبه سیاه و جعبه سفید است. در این آزمون‌ها، از تکنیک‌های تجزیه و تحلیل ایستای جعبه سفید برای شناخت آسیب‌پذیری‌ها استفاده می‌شود، سپس سعی می‌شود روی آسیب‌پذیری‌های پیداشده، حمله اجرا شود تا وجود آنها تصدیق شود. در صورت موفق بودن این گام، آسیب‌پذیری گزارش داده می‌شود.
      • آزمون جعبه خاکستری قادر است، آسیب‌پذیری‌های موجود در تمام مسیر‌های برنامه را با مثبت اشتباه کم پیدا نمایند.

شرکت پیشگامان کی‌پاد، معمولا از روش جعبه‌-خاکستری برای انجام آزمون‌های نفوذ استفاده می‌نماید. به طریق که ابتدا هدف از انجام آزمون‌نفوذ مشخص می‌شود و دسترسی‌های لازم توسط سازمان هدف، در اختیار متخصصان شرکت قرار می‌گیرد. سپس با توجه به دسترسی‌های داده شده، فرآیند آزمون نفوذ دنبال خواهد شد.

روش‌های انجام آزمون‌نفوذ

آزمون‌نفوذ را می‌توان به صورت دستی یا خودکار انجام داد.

۱-آزمون‌نفوذ خودکار

برای انجام آزمون‌نفوذ به صورت خودکار از ابزار‌های رایگان و یا ابزار‌های تجاری موجود، استفاده می‌شود.

  • استفاده از ابزار‌های تجاری در آزمون‌نفوذ

ابزار‌های رایگان در بسیاری از موارد قادر به شناسایی بسیاری از آسیب‌پذیری‌ها نیستند، بنابراین با‌توجه به اهمیت شناسایی آسیب‌پذیری‌های موجود در سازمان هدف، نیاز است تا از ابزار‌های تجاری قدرتمند استفاده نمود. از این رو در شرکت پیشگامان کی‌پاد، سه ابزار با بالاترین رتبه در رده‌بندی ۲۰۱۴ به نام‌های IBM AppScan، HP WebInspect و Acunetix WVS خریداری شده و توسط متخصصان سازمان، در پروژه‌های آزمون‌نفوذ مورد استفاده قرار می‌گیرد.

  • استفاده از ابزار‌های رایگان در آزمون‌نفوذ

علاوه بر استفاده از ابزار‌های تجاری مختلف، با توجه به تکنولوژی‌ها و ساختار نرم‌افزار مورد آزمون، از نرم‌افزار‌های کرک‌شده و رایگان مختلف، مانند W3AF، OWASP ZAP، Netsparker و بسیاری دیگر از ابزار‌ها، برای انجام آزمون استفاده خواهد شد.

۲-آزمون نفوذ دستی

با توجه به اینکه تمامی ابزار‌های موجود علی‌رغم قابلیت‌های شگرف خود، کاستی‌هایی دربرابر هوش و خرد انسانی دارند، در شرکت پیشگامان کی‌پاد علاوه بر انجام آزمون‌نفوذ به صورت خودکار، این آزمون توسط یک تیم ماهر و با تجربه نیز انجام می‌شود. در این فرآیند سناریو‌های حمله‌ی گوناگون پیاده‌سازی و مورد بررسی قرار خواهد گرفت. تجربه ثابت کرده‌است که در اغلب موارد، در این مرحله مخاطراتی کشف خواهد شد که توسط نرم‌افزار‌های مختلف قابل شناسایی نیستند. این مرحله موارد زیر را در بر می‌گیرد:

  • کشف کلیه‌ی ورودی‌های نرم‌افزار
  • تست امنیتی کلیه‌ی ورودی‌ها
  • درهم کوبیدن نرم‌افزار هدف در مواردی که امنیت لحاظ شده است.

در انتها نیز، گزارشی از چگونگی انجام آزمون، ضعف‌های پیدا‌شده و همچنین راهکار‌های برای برطرف‌سازی مشکلات امنتی شناخته‌شده، تهیه و در اختیار سازمان هدف قرار خواهد گرفت.