آزمون نفوذ پذيري Penetration Test
تعريف : آزمون نفوذ پذيري به عنوان روشي جهت ارزيابي امنيت سيستم ها ويا شبكه هاي كامپيوتري محسوب مي گردد كه در آن با شبيه سازي حمله هاي نفوذي افراد موسوم به cracker ها ميزان امنيت سيستم مورد بررسي قرار مي گيرد .
روشهاي اجرايي :
الف –روش جعبه سياه Black Box
در اين روش سيستم به شكل يك جعبه سياه ناشناخته در نظر گرفته شده وآزمون گيرنده با فرض عدم
شناخت ساختار سيستم وفقدان دانش كافي، به تست آن مي پردازد .
ب-روش جعبه سفيد white Box
در اين روش بر خلاف روش پيشين آزمون گيرنده از ساختار سيستم اعم از دياگرامهاي شبكه ،كدها
وآدرسهاي IP اطلاع كافي داشته وبا اين پيش فرض به تست سيستم مي پردازد .
ج-روش جعبه خاكستري Gray Box
بديهي است كه اين روش تلفيقي از دو روش فوق مي باشد ودر عين اينكه آزمون گيرنده به يك تست
صرفا" كور كورانه (blind)نمي پردازد اما ممكن است به تمام ساختار سيستم نيز اشراف نداشته باشد .
نكته :
آزمون نفوذ پذيري مي بايست بر روي تمام سيستمها،تمام سايتها وزير سايتها انجام شود تا احتمال نفوذ كليه كاربران عادي واستثنايي را به حداقل برساند .
متد لوژيهاي نفوذ پذيري :
متدلوژي OSSTM ( the Open Source Security Testing Methodology Manual):
متد لوژي OSSTM روشي است كه نحوه اجراي آزمونهاي امنيت واستفاده از معيارها واستانداردهاي موجود را بيان مي كند . مباحثي كه در آزمونهاي OSSTM مورد بررسي قرار مي گيرند به پنج دسته كلي ذيل تقسيم مي شوند:
1-كنترلهاي مربوط به اطلاعات وداده ها
2-سطوح آگاهي امنيتي كاركنان
3-سطوح كنترلي در خصوص جرائم كامپيوتري ومهندسي اجتماعي (Social Engineering)
4- شبكه هاي كامپيوتري وارتباطي (مثل دستگاههاي بي سيم –موبايلها و....)
5-كنترلهاي مربوط به سطوح فيزيكي ومحيطي امنيت (ساختمانها ،انواع محيط هاي فيزيكي )
متدلوژي فوق با تمركز بر روي جزئيات فني به بررسي اقدامات پيش گيرنده ،نگهدارنده ومقابله كننده پرداخته ودر اين راستا به معرفي روشهاي اندازه گيري بر روي نتايج بدست آمده نيز مي پردازد .
متد لولژي ISSAF (Information Systems Security Assessment Framework):
متدلولژي ISSAF روشي است ساخت يافته وجديد كه در بررسي وارزيابي امنيت سيستم ها ي اطلاعاتي ،آنها را به حوزه هاي مختلف تقسيم نموده وبه بررسي وارزيابي جزئيات در حيطه هريك از حوزه هاي مذكور مي پردازد .
هدف روش مذكور ايجاد ورودي هاي خاص سيستمي به گونه اي است كه امنيت را در يك سناريوي واقعي مورد بررسي قرار دهد .
در حقيقت ISSAF به عنوان روشي اوليه جهت تكميل ارزيابي امنيتي يك سازمان به كار مي رود .البته اين روش همچنان در مراحل اوليه اجرايي خود قرار دارد .
متد لوژي آزمون نفوذ پذيري : Penetration Test
اين متد لوژي به بخشهاي كلي ذيل تقسيم مي گردد:
1-اسكن پورت ها
2-كاري كه همزمان با اسكن پورتها جهت بررسي امنيت انجام مي شود .
3- انجام عمل Fingerprint بر روي سيستم
4-بررسي وكاوش سرويسها
آزمون نفوذ پذيري برنامه هاي تحت وب :
اين نوع آزمون مجموعه اي از سرويسهايي است كه جهت بررسي امنيت برنامه هاي تحت وب بكار مي روند .
اين سرويسها عموما" به تشخيص موارد مربوط به موضوعات ذيل مي پردازند:
1-تشخيص نقاط نفوذ پذير وريسكهاي موجود در برنامه هاي تحت وب به صورت عمومي
2- تشخيص نقاط نفوذ پذير شناخته شده ويا ناشناخته جهت مبارزه با تهديدها در فاصله زماني يافتن راه حل مناسب جهت رفع مشكل امنيتي
3-تشخيص نفوذ پذيريهاي فني ( اسكيرپتهاي سايتها،تشخيص هويت كاربران توسط برنامه ،كلمات رمز موجود در حافظه ،سر ريز بافرها ،مديريت اختيارات كاربران ،دستكاري آدرسهاي URLو...)
4-تشخيص ريسكهاي تجاري (از دست دادن اعتماد مشتري ،انتقال غير مجاز وجوه وسرمايه ،ورودهاي غير مجاز به سيستم ،استخراج اطلاعات شخصي و...)
با بيان توضيحات فوق وجهت تكميل موضوع ارائه يك مثال عملي از نحوه ارائه نتيجه اقدامات يك آزمون نفوذ پذيري خالي از لطف نمي باشد .
قالب نمونه گزارش آزمون نفوذ پذيري
- قالب گزارش
- معرفي
-جزئيات مربوط به تيم آزمون
- تاريخ وموقعيت آزمون
- جزئيات شبكه
- يك به يك ،كلاينت – سرور ،مدل Domain ومدل Active Directory
- جزئيات سيستم هاي عامل
- تعداد سرور ها وايستگاههاي كاري
- برنامه هاي نرم افزاري اصلي
- تنظيمات مربوط به سخت افزارها
- ارتباطات( T1، ماهواره ،WAN، leased line و....)
- رمز گزاريها
- نقش هاي اصلي شبكه وسيستم ها
- حيطه آزمون
- محدوديتهاي تحميلي به تيم آزمون (آيتم ها ي خارج از محدوده )
- هدف از تست
- گسترش نسخ جديد نرم افزار
- اطمينان از امنيت
- نوع آزمون
- ارزيابي نقاط نفوذ پذير (Vulnerability Assessment)
- آزمون نفوذ پذيري (Penetration test)
-روش اجرايي
- جعبه سفيد
تيم آزمون آگاهي ودسترسي كامل براي تست شبكه ،سخت افزار ،سيستم عامل وبرنامه ها را
دارد .
- جعبه سياه
نيازي به دانش خاصي از شبكه ارگان مورد بررسي نيست .(حمله بيروني برون دانش )
- جعبه خاكستري
تيم آزمون همانند يك كاربر درون سازماني با اطلاعات معمول اقدام به حمله مي نمايد .
- جمع بندي (خلاصه وغير فني )
- موارد امنيتي سيستم عامل با سطوح بحراني متفاوتي مورد بررسي قرار گرفت .
- موارد استخراج شده
- ضعف سخت افزاري
- ضعف نرم افزاري
- اشتباهات ناشي از اعمال كاربران
- مواردي كه بدليل محدوديتهاي محيطي قابل استخراج نيستند .
- موارد امنيتي برنامه كاربردي
- موارد استخراج شده .....
- موارد استخراج نشده ....
- موارد امنيتي فيزيكي
- موارد استخراج شده .....
- موارد استخراج نشده ....
- موارد امنيتي كاربران
- موارد استخراج شده .....
- موارد استخراج نشده ....
- موارد امنيتي عمومي
- موارد استخراج شده .....
- موارد استخراج نشده ....
- گزارش فني
- موارد امنيتي سيستم عامل
- امنيت فايل سيستم ها
- جزئيات
- پارتيشن بندي از نوع FAT در سيستم موجود مي باشد كه اجازه كنترل و تريسها
را نمي دهد .
- پيشنهاد
- پارتيشن مذكور مي بايست به صورت NTFS فرمت گردد.
- كلمات رمز
- جزئيات
- رمز گذاري LM hash در شبكه مشاهده گرديد .
- پيشنهاد
- از نصب واستفاده از NTLM2 در شبكه وتنظيمات مربوط به گروهها اطمينان
حاصل گردد .
- Patch ها
- جزئيات
- چندين Patch ها از آخرين Patch هاي مايكرو سافت موجود نيستند .
- پيشنهاد
- استفاده از Policy Patching وتست اوليه آن بر روي يك LAN آزمايشي
وتست سرور WSUS واطمينان از بروز رساني آن .
- آنتي ويروس
- جزئيات
- چندين ايستگاه كاري با آنتي ويروس بروز رساني نشده يافت شد .
- پيشنهاد
- نصب آنتي ويروس تحت سرور وتست بروز رساني آن بر روي كليه ايستگاههاي كاري
- Trust
- جزئيات
- كاربران يك دامين قادر به دسترسي به منابع درختي نيستند .
- پيشنهاد
- كليهTrust هاي مستقيم وغير مستقيم مورد بررسـي قرار گرفـته واز وجود كليهTrust
هاي مرتبط ومناسب اطمينان حاصل گردد.
- امنيت سرور وب
- امنيت فايل سيستمها
- جزئيات
- دسترسي غير صحيح بر روي شاخه www وجود دارد .
- پيشنهاد
- تدابير محكمتري بر روي شاخه فوق در نظر گرفته شود ويا گروهها وكاربران مختلفي كه به
اين شاخه دسترسي دارند حذف گردند .
- كلمات رمز
- جزئيات
- فضاهايي كه بايد در سايت وب مورد دسترسي قرار نگيرند داراي كلمات رمز نمي باشند .
- پيشنهاد
- فضاهاي مذكور شناسايي وبا كلمه رمز مورد محافظت قرار گيرند .
- ابزار قفل
- جزئيات
- ابزار قفل IIS بر روي سرور وب نصب نمي باشد .
- پيشنهاد
- ابزار فوق بر روي يك سرور آزمايشي نصب وپس از اطمينان از سازگاري آن با برنامه هاي
كاربردي بر روي سرور وب نصب گردد.
- امنيت سرور پايگاه
- مانند موارد قبل
- امنيت برنامه هاي عمومي
- مانند موارد قبل
- امنيت تجاري
- موارد مورد بررسي
- تهيه نسخ پشتيباني
- دسترسي ها
- تامين كاربران
- تامين نرم افزاري
- تامين سخت افزاري
- تامين مستندات
- ساير موارد
- بررسي سر ريز بافرها
- بررسي سرويسها وخروجي هاي ناخواسته آنها
- بررسي مشكلات ناشي از پيمايش داير كتوري هاي سيستمي
-بررسي سازمان به روش مهندسي اجتماعي
- بررسي دياگرام شبكه
- روشهاي حمله در آزمون نفوذ پذيري
- روش شناسايي (Reconnaissance)
- در اين روش آزمون گيرنده به جمع آوري تمامي اطلاعـات شبكه در حد امكان مي پـردازد .
روش شناسايي مي تواند به دو صورت حمله فعال وغير فعال مورد استفاده قرار گيرد كه روش
حمله غير فعال از آنجا كه به طور نامحسوس عمل مي كند مناسب تر به نظر مي رسد . استفاده
از مهندسي اجتماعي يكي از راههاي روش حمله فـعال است كه موجب ثبت احتمالـي حمله در
سيستم هاي داراي log مي گردد.
- روش پويش
- در اين روش آزمون گيرنده از ابزارهاي Fingerprint سيستم عامل به صورت متعدد بهره
گرفته وبه كاوش در خصوص تعداد وانواع سرورها وسرويسهاي اجرايي در شبكه مي پردازد .
- روش اسكن
- در اين روش وبا استفاده از اسكنرهاي نفوذ پذير ي سرورهاي يافت شده مورد بررسي قرار
گرفته واز نتايج اين بررسي ها ،نقاط نفوذ پذير سرور يا شبكه مورد نظر مشخص مي گردد.
- دسترسي يافتن
- در اين روش با استفاده از نقاط ضعف برنامه هاي كاربردي ،سرويسها ويا سيستم هاي عامل مي توان
به آنها دسترسـي پيدا نـمود . به عنوان مـثال مي توان با استفاده از exploit engine هايي از قبـيل "Metasploit" و يا ابزار هاي password cracking اقدام به اين حمله نمود .
- حفظ دسترسي ها
- در اين روش با نصب يك backdoor در شبكه مورد نظر امكان بازگشت آزمون گيرنده ودسترسي
هميشگي وي به منابع مورد نظر وجود خواهد داشت . اين كار با يكي از روشهاي back door Trojan
،rootkit ويا تعريف يك كار بر جعلي امكان پذير مي باشد .
- پاك كردن شواهد
- اين روش عبارتست از پاك نمودن log هاي سيستمي كه رد پاي حمله كننده را نشان مي دهد . در
صورت دسترسي جهت حذف يا تغيير اين log ها امكان رد يابي حمله كننده بسيار پايين است كه
دراين خصوص بايد بسيار دقت گردد.
بديهي است موارد ديگري نيز به فراخور نوع شبكه و اطلاعات هر سازمان مي توانند در آزمون نفوذ پذيري مربوطه لحاظ گردند.
جمع بندي :
امروزه آزمون نفوذپذيري چه براي سازمانهايي كه از تجهيزات امن استفاده مي كنند و چه براي آن دسته از سازمانهايي كه در استقرار تجهيزات نرم افزاري، سخت افزاري و شبكه اي قوي ، نوپا محسوب مي گردند، به عنوان يك روش نفوذي قانونمند در جهت شناسايي آسيب پذيريهاي سيستم كاربرد وسيعي يافته است.به طور كلي مقدمات استفاده از اين نوع آزمون عبارتند از :
- شناخت روشهاي اجرايي
- شناخت و بستر سازي جهت استفاده از متدلوژيهاي استاندارد
- تدوين قوانين استفاده از آزمون در سازمان
- تهيه فرمتهاي مورد استفاده در گزارشات عملكرد
- تجهيز و بروزرساني نرم افزار، سخت افزار و شبكه
فهرست منابع ومواخذ :
-1 Wikipedia.org en. (سايت ويكي پديا )
-2 www.Vulnerabilityassessment.co.uk
-3 Microsoft Windows 2000 Security Configuration guide
-4 استاندارد ISO27001
-5 ٌWWW. CiSecurity .org
-6 مقالات اولين همايش ونمايشگاه تخصصي امنيت دولت الكترونيك
-7سايت آژانس امنيت ملي WWW.nsa.gov
به لطف خداوند مهربان اين مجال را يافتيم که در موضوعات مختلف مدیریت منابع انسانی جديدترين مقالات، تحقيقات، نظريه ها و... را مورد كند و كاو قرار دهيم. این وبلاگ دست تمامي صاحب نظران و انديشمندان عرصه ي مديريت منابع انسانی را در مسير توليد علم و توسعه ي نرم افزاري به گرمي مي فشارد