اسکنر آسیب‌پذیری می‌گوید «این در ممکن است باز باشد»؛ تست نفوذ نشان می‌دهد «از این در وارد شدیم و تا اینجا رسیدیم». تست نفوذ (Penetration Testing) ارزیابی امنیتی مجاز و کنترل‌شده‌ای است که در آن متخصصان با ذهنیت مهاجم، سامانه را آزمایش می‌کنند.
انواع تست نفوذ بر اساس اطلاعات اولیه
- جعبه سیاه: تیم آزمون اطلاعاتی جز نام دامنه یا آدرس ندارد؛ شبیه مهاجم خارجی.
- جعبه خاکستری: دسترسی یک کاربر عادی یا مستندات محدود در اختیار است؛ متداول‌ترین و کارآمدترین حالت.
- جعبه سفید: دسترسی به کد منبع و معماری؛ عمیق‌ترین پوشش.
انواع بر اساس هدف
- وب‌اپلیکیشن و API
- زیرساخت و شبکه داخلی/خارجی
- اپلیکیشن موبایل
- قراردادهای هوشمند و سامانه‌های بلاکچینی
- مهندسی اجتماعی و فیشینگ
- شبکه بی‌سیم
مراحل یک تست نفوذ استاندارد
۱. تعریف محدوده و قوانین درگیری
دارایی‌های مجاز، بازه زمانی، روش‌های ممنوع (مثلاً حمله منع سرویس) و راه ارتباط اضطراری به‌صورت مکتوب توافق می‌شود. هیچ آزمونی بدون مجوز کتبی انجام نمی‌شود.
۲. شناسایی (Reconnaissance)
جمع‌آوری اطلاعات عمومی: زیردامنه‌ها، فناوری‌ها، کارکنان و نشت‌های قبلی.
۳. اسکن و شمارش
شناسایی پورت‌ها، سرویس‌ها، نسخه‌ها و نقاط ورودی اپلیکیشن.
۴. بهره‌برداری
تلاش کنترل‌شده برای اثبات آسیب‌پذیری؛ با کمترین اثر روی سرویس عملیاتی.
۵. پس از نفوذ
بررسی اینکه با دسترسی به‌دست‌آمده تا کجا می‌توان پیش رفت: افزایش سطح دسترسی، حرکت جانبی و دسترسی به داده حساس.
۶. گزارش‌دهی
گزارش خوب دو بخش دارد: خلاصه مدیریتی با ریسک‌های کسب‌وکاری، و جزئیات فنی هر یافته با شدت، شواهد، مراحل بازتولید و راهکار رفع.
۷. آزمون مجدد
پس از رفع، یافته‌ها دوباره بررسی می‌شوند تا از اثربخشی اصلاحات اطمینان حاصل شود.
هر چند وقت یک‌بار؟
حداقل سالی یک‌بار، و همچنین پس از هر تغییر بزرگ در معماری، انتشار نسخه اصلی یا مهاجرت زیرساخت. برای سامانه‌های مالی و بلاکچینی، آزمون پیش از هر انتشار عمومی ضروری است.
تست نفوذ تصویری از امنیت شما در یک لحظه است؛ امنیت پایدار حاصل ترکیب آن با توسعه امن و پایش مداوم است.
