ارزیابی امنیتی و تست نفوذ

تست نفوذپذیری و ارزیابی امنیت شبکه

با افزایش روز افزون استفاده از کامپیوتر و اینترنت در زندگی انسان نیاز به امنیت اطلاعات به امری بدیهی و بسیار مهم برای موسسات و سازمانها بدل شده است. به منظور افزایش امنیت شبکه نیاز است تا پیش از هکرها نقاط ضعیف و آسیب‌پذیر شبکه را شناسایی و نسبت به رفع این نقایص اقدام گردد.شرکت ایمن پردیس از طریق ارزیابی امنیتی و تست نفوذ‌پذیری این امکان را برای سازمانها فراهم می‌آورد که ضمن حفظ اطلاعات محرمانه، از نقاط آسیب‌پذیر شبکه خود اطلاع یافته و نسبت به رفع آن اقدام کنند.

تست نفوذپذیری
روشی است جهت ارزیابی امنیت شبکه به کمک شبیه‌سازی حملاتی که توسط هکرها انجام میگیرد .که به یکی از دو روش زیر انجام می‌شود:
BlackBox: کارشناس از مکانی خارج از سازمان سعی در یافتن نقاط آسیب‌پذیر موجود در سازمان دارد.
WhiteBox: کارشناس با استفاده از شبکه سازمان و زیرساخت‌های آن و بازبینی کدها سعی در یافتن نقاط آسیب‌پذیر موجود در سازمان دارد.

مراحل اولیه برای تست امنیت شبکه به شرح ذیل می باشد:
1- بدست آوردن اطلاعات مفید درباره ی سیستم هدف:
هرچه اطلاعات نسبت به سیستم هدف دقیق تر و کامل تر باشد حملات موفق تری را میتوان انجام داد ،این اطلاعات شامل بدست آوردن رنج ip ودامنه سایت و...کمک شایانی در نوع حمله می نماید ،لذا می بایست در خصوص نشر اطلاعاتی که میتواند به نفوذگران کمک نماید دقت نظر فراوانی داشت.

2- scanning سیستم برای یافتن سرویس های که میتواند عامل نفوذ باشد:
در بعضی موارد مشاهده است که بسیاری از سازمانها از سرویس هایی در شبکه خود استفاده میکنن که این سرویس ها ممکن است دارای حفره های امنیتی باشند ونفوذگران میتوانند با Scaning کردن پورت ها و پروتکل ها،پورت های باز را شناسایی و از طریق این پورت ها اقدام به حملات اولیه و ارسال packet های متنوع نمایندو در این خصوص باید با دقت نظر بالایی بررسی نمود که آیا سرویس های آسیب پذیری بر روی شبکه راه اندازی شده است یا خیر؟

3- احراز هویت و شناسایی سیستم ها و برنامه های کاربردی:
باید تمام منابع درون شبکه با نام ها و کاربری های مختلف و نیز برنامه های کاربردی نصب گردیده بر روی آنها قابل شناسایی باشند.

4- جمع آوری اطلاعات در مورد آسیب پذیری ها:
اطلاعات لازم در مورد آسیب پذیری های مربوط به سیستم یا برنامه های کاربردی خاص هدف در صورتیکه از وصله های امنیتی بروز استفاده نکرده اند (Patch Managment) می بایست تحقیق و جمع آوری شود.

5- استخراج آسیب پذیری ها:
استخراج آسیب پذیری ها میتواند از دسترسی های بدون مجوز جلوگیری و امنیت سیستم را در مقابل این حملات تامین کند.

اهداف تست نفوذ پذیری
به طور کلی اهداف تست نفوذ پذیری به چهار دسته تقسیم بندی نمود.
1- ارتقاء امنیت سیستم های تکنیکی:
در اکثر موارد نیاز مشتری ها در این دسته قرار میگیرد. تست ها عمدتآ محدود به سیستم های تکنیکی هستند مانند وب سرور ها، مسیریاب ها و ... 

2- شناسایی آسیب پذیری ها:
در مقایسه با سایر هدف ها، این دسته واقعی تر است به عنوان مثال زمانی که قرار است دو شبکه محلی با هم ارتباط داشته باشند، پای تست نفوذ پذیری وسط کشیده میشود که باید بررسی کند آیا شبکه ی جدید در مقابل دسترسی های غیر مجاز از خارج سیستم امن است یا خیر. 

3- داشتن امنیت تکنولوژی ارتباطات تایید شده توسط فرد خارج از سیستم :
همواره یک سیستم نیاز به تایید توسط یک فرد خارجی مستقل از دامنه دارد، و واضح است که تست نفوذپذیری وضعیت امنیت منابع موجود زمانی مشخص را نشان میدهد و تضمینی برای وجود همین امنیت در آینده را نخواهد داد. 

4- بهبود امنیت زیرساخت سازمانی و پرسنلی:
جدا از تست زیرساخت های تکنیکی، تست نفوذپذیری میتواند زیرساخت های سازمانی و پرسنلی را هم تحت شعاع قرار دهد.
نتیجه ی یک تست نفوذ پذیری لیستی از آسیب پذیری ها خواهد بود.
شرکت مهندسین مشاوره فناوری ساپرا بابهره گیری از متخصصین توانمند در حوزه فناوری اطلاعات و امنیت همواره در ارائه راهکارهای امنیت مراکز داده وجلوگیری از نفوذ گامی موثر برداشته وخدمات قابل توجهی را به مشتریان خود ارائه می دهد   .

چرا تست نفوذپذیری
بسیاری از سازمان ها از تست نفوذپذیری برای پیدا نمودن رخنه های موجود در شبکه، قبل از اینکه هکرها این کار را انجام دهند، استفاده می کنند. بعد از برقراری سیاست و رویه های امنیتی، سازمان ها یک تست نفوذپذیری جامع را برای محک زدن تاثیر آن سیاست ها به کار می برند.
هدف اصلی تست نفوذ پذیری، یافتن رخنه ها به گونه ای است که بتوان آن ها را بر طرف نمود(این برطرف کردن آسیب پذیری ها می تواند با استفاده از وصله ها (Patch) دوباره تنظیم کردن سیستم ها، تغییرمعماری، تغییر پردازش ها و ... انجام می گیرد.

مراحل کلی انجام آزمون