ارزیابی امنیتی و تست نفوذ

تست نفوذپذیری و ارزیابی امنیت شبکه

با افزایش روز افزون استفاده از کامپیوتر و اینترنت در زندگی انسان نیاز به امنیت اطلاعات به امری بدیهی و بسیار مهم برای موسسات و سازمان‌ها بدل شده است. به منظور افزایش امنیت شبکه نیاز است تا پیش از هکرها نقاط ضعیف و آسیب‌پذیر شبکه را شناسایی و نسبت به رفع این نقایص اقدام گردد.مرکز آپا دانشگاه مازندران از طریق ارزیابی امنیتی و تست نفوذ‌پذیری این امکان را برای سازمان‌ها فراهم می‌آورد که ضمن حفظ اطلاعات محرمانه، از نقاط آسیب‌پذیر شبکه خود اطلاع یافته و نسبت به رفع آن اقدام کنند

تست نفوذپذیری
روشی است جهت ارزیابی امنیت شبکه به کمک شبیه‌سازی حملاتی که توسط هکرها انجام می‌گیرد .که به یکی از دو روش زیر انجام می‌شود:
BlackBox: کارشناس از مکانی خارج از سازمان سعی در یافتن نقاط آسیب‌پذیر موجود در سازمان دارد.
WhiteBox: کارشناس با استفاده از شبکه سازمان و زیرساخت‌های آن و بازبینی کدها سعی در یافتن نقاط آسیب‌پذیر موجود در سازمان دارد.

مراحل اولیه برای تست امنیت شبکه به شرح ذیل می باشد:
۱- بدست آوردن اطلاعات مفید درباره‌ی سیستم هدف:
هرچه اطلاعات نسبت به سیستم هدف دقیق تر و کامل تر باشد حملات موفق تری را می‌توان انجام داد ،این اطلاعات شامل بدست آوردن محدوده ip ودامنه سایت و...کمک شایانی در نوع حمله می‌نماید، لذا می بایست در خصوص نشر اطلاعاتی که می‌تواند به نفوذگران کمک نماید دقت نظر فراوانی داشت.

۲- پویش سیستم برای یافتن سرویس های که میتواند عامل نفوذ باشد:
در بعضی موارد مشاهده است که بسیاری از سازمان‌ها از سرویس هایی در شبکه خود استفاده می‌کنن که این سرویس ها ممکن است دارای حفره های امنیتی باشند ونفوذگران می‌توانند با پویش کردن پورت ها و پروتکل ها، پورت های باز را شناسایی و از طریق این پورت ها اقدام به حملات اولیه و ارسال بستههای متنوع نمایند و در این خصوص باید با دقت نظر بالایی بررسی نمود که آیا سرویس های آسیب پذیری بر روی شبکه راه اندازی شده است یا خیر؟

۳- احراز هویت و شناسایی سیستم ها و برنامه های کاربردی:
باید تمام منابع درون شبکه با نام‌ها و کاربری های مختلف و نیز برنامه های کاربردی نصب گردیده بر روی آنها قابل شناسایی باشند.

۴- جمع آوری اطلاعات در مورد آسیب پذیری ها:
اطلاعات لازم در مورد آسیب پذیری های مربوط به سیستم یا برنامه های کاربردی خاص هدف در صورتی که از وصله های امنیتی به‌روز استفاده نکرده اند می بایست تحقیق و جمع آوری شود.

۵- استخراج آسیب پذیری ها:
استخراج آسیب پذیری ها می‌تواند از دسترسی های بدون مجوز جلوگیری و امنیت سیستم را در مقابل این حملات تامین کند.

اهداف تست نفوذ پذیری
به طور کلی می توان اهداف تست نفوذ پذیری را به چهار دسته، تقسیم بندی نمود.
۱- ارتقاء امنیت سیستم های تکنیکی:
در اکثر موارد نیاز مشتری‌ها در این دسته قرار می‌گیرد. تست ها عمدتآ محدود به سیستم های تکنیکی هستند مانند وب سرورها، مسیریاب ها و ... 

۲- شناسایی آسیب پذیری ها:
در مقایسه با سایر هدف ها، این دسته واقعی تر است به عنوان مثال زمانی که قرار است دو شبکه محلی با هم ارتباط داشته باشند، پای تست نفوذ پذیری وسط کشیده می‌شود که باید بررسی کند آیا شبکه ی جدید در مقابل دسترسی های غیر مجاز از خارج سیستم امن است یا خیر. 

۳- داشتن امنیت تکنولوژی ارتباطات تایید شده توسط فرد خارج از سیستم :
همواره یک سیستم نیاز به تایید توسط یک فرد خارجی مستقل از دامنه دارد، و واضح است که تست نفوذپذیری وضعیت امنیت منابع موجود زمانی مشخص را نشان می‌دهد و تضمینی برای وجود همین امنیت در آینده را نخواهد داد. 

۴- بهبود امنیت زیرساخت سازمانی و پرسنلی:
جدا از تست زیرساخت‌های تکنیکی، تست نفوذپذیری می‌تواند زیرساخت های سازمانی و پرسنلی را هم تحت شعاع قرار دهد.
نتیجه ی یک تست نفوذ پذیری لیستی از آسیب پذیری ها خواهد بود.
مرکز آپا دانشگاه مازندران با بهره گیری از متخصصین توانمند در حوزه فناوری اطلاعات و امنیت همواره در ارائه راهکارهای امنیت مراکز داده و جلوگیری از نفوذ، گامی موثر برداشته و خدمات قابل توجهی را به مشتریان خود ارائه می دهد.

چرا تست نفوذپذیری
بسیاری از سازمان ها از تست نفوذپذیری برای پیدا نمودن رخنه های موجود در شبکه، قبل از اینکه هکرها این کار را انجام دهند، استفاده می کنند. بعد از برقراری سیاست و رویه های امنیتی، سازمان ها یک تست نفوذپذیری جامع را برای محک زدن تاثیر آن سیاست ها به کار می برند.
هدف اصلی تست نفوذ پذیری، یافتن رخنه ها به گونه ای است که بتوان آن ها را بر طرف نمود(این برطرف کردن آسیب پذیری ها می تواند با استفاده از وصله ها دوباره تنظیم کردن سیستم ها، تغییرمعماری، تغییر پردازش‌ها و ... انجام می گیرد.

مراحل کلی انجام آزمون