Security Assessment & Penetration Testing
ارزیابی امنیت و تست نفوذ
ارزیابی امنیت یک مسابقه نیست؛ یک فرایند مهندسی است با دامنهٔ مشخص، مجوز کتبی و خروجی قابل اقدام.
معرفی تخصصی
ارزیابی امنیت و تست نفوذ در عمل چه کاری انجام می‌دهد
سازمان‌ها معمولاً پس از مقاوم‌سازی زیرساخت این پرسش را دارند: آیا کاری که انجام دادیم واقعاً مؤثر بوده است؟ ارزیابی امنیت برای پاسخ به همین پرسش انجام می‌شود — سنجش وضعیت موجود از بیرون، به‌جای اتکا به فرض.
کار ما در این حوزه بر چارچوب استوار است، نه بر کشف اتفاقی: دامنهٔ ارزیابی پیش از شروع مکتوب می‌شود، مجوز رسمی سازمان دریافت می‌گردد، بازهٔ زمانی و مرزهای مجاز تعیین می‌شود و هر یافته با شواهد و مسیر اصلاح گزارش می‌گردد.
خروجی ارزیابی، فهرستی از یافته‌های مرتب‌شده بر پایهٔ ریسک واقعی است، نه یک گزارش خودکار. تفاوت در همین است: ابزار آسیب‌پذیری را فهرست می‌کند، تحلیل انسانی تعیین می‌کند کدام‌یک در زمینهٔ سازمان شما واقعاً خطرناک است.
مسئله
چه مشکلی را حل می‌کند
بسیاری از سازمان‌ها سرمایه‌گذاری امنیتی انجام می‌دهند بدون آنکه معیاری برای سنجش اثر آن داشته باشند. فایروال خریداری شده، سیاست‌ها اعمال شده، اما هیچ‌کس آزموده است که آیا این کنترل‌ها در عمل کار می‌کنند.
مسئلهٔ دوم، گزارش‌های خودکاری است که با فهرستی طولانی از هشدارهای بدون زمینه تحویل می‌شوند و تیم فنی نمی‌داند از کجا شروع کند.
- نبود معیار مستقل برای سنجش اثر سرمایه‌گذاری‌های امنیتی
- ناآگاهی از سرویس‌هایی که ناخواسته از بیرون قابل دسترسی‌اند
- گزارش‌های خودکار با یافته‌های بدون اولویت و بدون زمینهٔ سازمانی
- آسیب‌پذیری‌های شناخته‌شده در نسخه‌های قدیمی سرویس‌های در حال اجرا
- پیکربندی‌های ضعیف که آسیب‌پذیری نرم‌افزاری نیستند اما مسیر نفوذ می‌سازند
- نبود آزمون مجدد پس از اصلاح، و نامشخص بودن اینکه مشکل واقعاً رفع شده یا نه
کاربرد سازمانی
کجا به این خدمت نیاز پیدا می‌شود
ارزیابی سطح بیرونی
سنجش آنچه از اینترنت قابل مشاهده و دسترسی است، به‌عنوان نخستین لایه‌ای که مهاجم با آن روبه‌رو می‌شود.
ارزیابی داخلی
بررسی اینکه یک دستگاه آلوده یا کاربر با اختیار محدود در شبکهٔ داخلی تا کجا می‌تواند پیش برود.
ارزیابی پیش از بهره‌برداری
بررسی سامانه یا زیرساخت تازه راه‌اندازی‌شده پیش از آنکه وارد مدار عملیاتی شود.
آزمون مجدد پس از اصلاح
تأیید اینکه یافته‌های گزارش قبلی واقعاً برطرف شده‌اند و اصلاح، مشکل تازه‌ای ایجاد نکرده است.
معماری پیشنهادی
ساختاری که پیشنهاد می‌کنیم
ارزیابی در یک چارچوب چهارمرحله‌ای انجام می‌شود. مرحلهٔ اول پیش‌شرط قطعی شروع کار است و بدون آن هیچ فعالیتی آغاز نمی‌شود.
برای دیدن کامل نمودار، آن را به چپ و راست بکشید.
- تعریف دامنه و مجوزتعیین مکتوب دارایی‌های در دامنه، مرزهای مجاز، بازهٔ زمانی و فرد پاسخ‌گو در سازمان؛ به‌همراه مجوز رسمی کتبی از مالک سامانه.
- شناسایی و نگاشتترسیم تصویر دارایی‌ها و سرویس‌های در دامنه، به‌عنوان مبنای تحلیل بعدی.
- تحلیل و اعتبارسنجیبررسی یافته‌ها و جدا کردن موارد واقعی از هشدارهای نادرست ابزارها، با توجه به زمینهٔ سازمان.
- گزارش و پیگیریتحویل گزارش فنی و مدیریتی با اولویت‌بندی ریسک و مسیر اصلاح، و آزمون مجدد پس از رفع.
قابلیت‌ها
اجزا و قابلیت‌های فنی
تعریف دامنه و قرارداد
تدوین سند دامنه، سطح ارزیابی، بازهٔ زمانی و مجوز کتبی، پیش از هرگونه فعالیت فنی.
ارزیابی سطح در معرض دید
شناسایی دارایی‌ها و سرویس‌هایی که از بیرون سازمان قابل دسترسی‌اند، شامل مواردی که سازمان از آن‌ها بی‌خبر است.
بررسی پیکربندی و نسخه
ارزیابی تنظیمات و نسخهٔ سرویس‌های در حال اجرا در برابر آسیب‌پذیری‌های شناخته‌شده و پیکربندی‌های ضعیف.
اعتبارسنجی یافته‌ها
تأیید اینکه هر یافته در زمینهٔ واقعی سازمان قابل بهره‌برداری است، به‌جای تحویل خروجی خام ابزار.
گزارش دولایه
گزارش فنی با شواهد و مسیر اصلاح برای تیم فنی، و خلاصهٔ مدیریتی با تصویر ریسک برای تصمیم‌گیری.
آزمون مجدد
بررسی دوبارهٔ یافته‌ها پس از اعمال اصلاحات، برای تأیید رفع واقعی مشکل.
مزیت‌ها
چه چیزی در عملیات روزمره تغییر می‌کند
تصویر مستقل از وضعیت
سنجش بیرونی، فاصلهٔ میان آنچه تصور می‌شود و آنچه هست را نشان می‌دهد.
اولویت روشن برای اصلاح
یافته‌ها بر پایهٔ ریسک واقعی مرتب می‌شوند، نه بر پایهٔ شدت عمومی ابزار.
خروجی قابل اقدام
هر یافته با مسیر اصلاح مشخص همراه است، نه صرفاً با اعلام وجود مشکل.
تأیید پس از اصلاح
آزمون مجدد نشان می‌دهد اصلاح واقعاً مؤثر بوده است.
سناریوهای استفاده
سه وضعیت پرتکرار و پاسخ ما به آن‌ها
این سناریوها الگوی طراحی‌اند، نه شرح پروژه‌های انجام‌شده؛ برای هر سازمان با اندازه‌گیری وضعیت واقعی بازنویسی می‌شوند.
- وضعیت
سازمانی که پس از بازطراحی مرز شبکه می‌خواهد بداند آیا تغییرات در عمل مؤثر بوده‌اند.
رویکردارزیابی سطح بیرونی با دامنهٔ توافق‌شده، مقایسهٔ نتیجه با وضعیت پیش از تغییر و گزارش یافته‌های باقی‌مانده.
نتیجهٔ مورد انتظاراثر سرمایه‌گذاری قابل سنجش می‌شود و موارد جامانده پیش از آنکه کشف شوند برطرف می‌گردند.
- وضعیت
مجموعه‌ای که گزارش اسکن خودکار دریافت کرده و با فهرستی طولانی از هشدارهای بدون اولویت روبه‌روست.
رویکرداعتبارسنجی یافته‌ها در زمینهٔ واقعی سازمان، حذف موارد نادرست و مرتب‌سازی باقی‌مانده بر پایهٔ ریسک عملی.
نتیجهٔ مورد انتظارفهرست طولانی به چند اقدام مشخص و قابل اجرا تبدیل می‌شود.
مراحل اجرا
از ارزیابی تا بهره‌برداری
توافق دامنه و مجوز
تعیین مکتوب دارایی‌ها، مرزها، بازهٔ زمانی و مسئول هماهنگی؛ و دریافت مجوز رسمی. بدون این مرحله کار آغاز نمی‌شود.
شناسایی و تحلیل
نگاشت دارایی‌های در دامنه و بررسی وضعیت آن‌ها در بازهٔ توافق‌شده.
گزارش‌دهی
تحویل گزارش فنی و مدیریتی با اولویت‌بندی ریسک، شواهد و مسیر اصلاح هر یافته.
اصلاح و آزمون مجدد
همراهی تیم فنی در رفع یافته‌ها و بررسی دوباره برای تأیید اثربخشی اصلاحات.
فناوری‌ها
سکوها و فناوری‌های مرتبط
فهرست فناوری‌هایی که در این حوزه با آن‌ها کار می‌کنیم. انتخاب نهایی در مرحلهٔ طراحی و بر پایهٔ وضعیت موجود سازمان انجام می‌شود.
- OWASP Testing Guide
- NIST SP 800-115
- CVE / CVSS Scoring
- Vulnerability Management
- Configuration Review
پرسش‌های متداول — ارزیابی امنیت و تست نفوذ
برای شروع ارزیابی چه چیزی لازم است؟
مجوز کتبی مالک سامانه و یک سند دامنهٔ توافق‌شده. ارزیابی امنیتی بدون مجوز رسمی انجام نمی‌شود — این هم الزام حرفه‌ای است و هم الزام قانونی. اگر زیرساخت روی سرویس شخص ثالث میزبانی می‌شود، هماهنگی با آن ارائه‌دهنده نیز ممکن است لازم باشد.
آیا ارزیابی به سرویس‌های در حال کار آسیب می‌زند؟
فعالیت‌ها در بازهٔ توافق‌شده و با سطح تأثیر از پیش تعیین‌شده انجام می‌شوند. هر اقدامی که احتمال اختلال داشته باشد، پیش از اجرا اعلام و دربارهٔ زمان آن هماهنگی می‌شود. در محیط‌های حساس معمولاً ارزیابی روی نسخهٔ مشابه محیط عملیاتی انجام می‌شود.
خروجی کار دقیقاً چیست؟
دو گزارش: یکی فنی، شامل یافته‌ها با شواهد و مسیر اصلاح، برای تیم فنی؛ و یکی خلاصهٔ مدیریتی که تصویر ریسک و اولویت اقدامات را به زبان قابل فهم برای تصمیم‌گیری ارائه می‌کند.
هر چند وقت یک‌بار ارزیابی لازم است؟
پس از هر تغییر مهم در زیرساخت یا انتشار سرویس جدید، و به‌صورت دوره‌ای متناسب با حساسیت داده‌های سازمان. ارزیابی یک‌باره تصویر همان لحظه است و با تغییر زیرساخت اعتبارش کاهش می‌یابد.
خدمات مرتبط
دربارهٔ ارزیابی امنیت و تست نفوذ در سازمان خود صحبت کنیم
در جلسهٔ تخصصی، وضعیت فعلی، محدودیت‌ها و اهداف قابل اندازه‌گیری شما بررسی می‌شود و تصویر روشنی از معماری پیشنهادی و مراحل اجرا ارائه می‌گردد.