شرکت‌ها چگونه امنیت در تست نفوذ را به خطر می‌اندازند؟

تست نفوذ (pentesting) عبارت است از «تلاش برای شناسایی و اصلاح آسیب‌پذیری‌های سیستم و ایمن‌سازی حملات پنهان». این آسیب‌پذیری‌ها ممکن است در سیستم‌عامل‌ها، نقص‌های سرویس و برنامه، پیکربندی‌های نامناسب یا رفتار خطرناک کاربر وجود داشته باشند.

تست نفوذ معمولاً در محیط کنترل‌شده‌ای انجام می‌شود تا از هرگونه نقض امنیتی جلوگیری شود و ضعف‌ها قبل از آنکه مهاجمان مخرب آن‌ها را شناسایی و بهره‌برداری کنند؛ شناسایی شوند.

هدف از تست نفوذ

در درجه اول، سازمان‌ها برای تقویت وضعیت امنیتی خود تست نفوذ را انجام می‌دهند. با این کار شرکت‌ها قادر می‌شوند تا قبل از این‌که عوامل تهدید بتوانند از آن‌ها سوء‌استفاده کنند آسیب‌پذیری‌ها را کشف و اصلاح کنند. همچنین، انجام تست نقض‌های امنیتی، احتمال ضررهای مالی هنگفت و جریمه‌های کیفری را کاهش می‌دهد. با این حال، تست نفوذ نه‌‌تنها امنیت را افزایش می‌دهد؛ بلکه لازمه انطباق نیز است. سازمان‌ها با انجام این تست، استانداردهای امنیتی خاصی که منطبق با قوانین و مقررات صنعت الزامی است را رعایت می‌کنند.

تفاوت تست نفوذ انطباق محور با تست نفوذ امنیت محور

در حالی که تمرکز تست نفوذ بر افزایش سطح امنیت در سازمان است روش آن ممکن است بسته به یک‌سری عوامل متفاوت باشد. به‌عنوان مثال، آزمایش در زمینه‌های مرتبط با سلامت ممکن است محدود به الزامات HIPAA باشد یا در مورد پردازش کارت پرداخت (payment card processing) به PCI DSS محدود شود. همین امر در مورد GDPR اتحادیه اروپا به‌عنوان مقررات حفاظت از داده‌ها نیز صدق می‌کند. در عین حال، تست نفوذ مبتنی بر امنیت جامع‌تر و نامحدود است زیرا هدف اصلی آن آزمایش قدرت سازمان در مقابل تهدیدات احتمالی است. بنابراین، اولویت‌دادن به تست‌های مبتنی بر امنیت نسبت به انطباق صرف، شناسایی آسیب‌پذیری‌های پنهان خاصی را که بررسی‌های انطباق استاندارد ممکن است نادیده بگیرند تضمین می‌کند.

به‌عنوان مثال، استفاده از تکنیک‌های نفوذ پیشرفته می‌تواند نشان دهد که سیستمی در برابر ورودی‌های غیرمنتظره و آشفته چقدر قوی است مانند فازینگ (fuzzing) که در آن آزمایش‌کنندگان مقادیر عظیمی از داده‌های تصادفی را به سیستم‌ها وارد می‌کنند تا باعث خرابی آن‌ها شوند. این نوع آزمایش ممکن است آسیب‌پذیری‌های حیاتی بافر (buffer) یا نقص‌های غیرمنتظره مدیریت خطا را آشکار کند که معمولاً تحت آزمایش‌های استاندارد متمرکز بر انطباق بررسی نمی‌شوند اما در صورت سوء‌استفاده عوامل مخرب می‌توانند فاجعه‌بار باشند.

چارچوب‌های انطباق رایج و الزامات تست نفوذ آن‌ها

استاندارد امنیت داده‌های صنعت کارت پرداخت (Payment Card Industry Data Security Standard)

PCI DSS برای نهادهایی که تراکنش‌های کارت را انجام می‌دهند تا از داده‌های دارنده کارت محافظت کنند، آزمایش نفوذ منظم را الزامی‌ و مشخص می‌کند که تست‌های نفوذ برای هر دو لایه شبکه و برنامه باید حداقل سالانه انجام شود. این آزمایش باید تمام سیستم‌های حیاتی را پوشش دهد و هدف آن شناسایی و اصلاح همه مسائل باشد.

قانون حمل‌ونقل و پاسخگویی بیمه درمانی (Health Insurance Portability and Accountability Act)

HIPAA نیازی به آزمایش نفوذ ندارد اما به‌عنوان بخشی از فرآیند مدیریت امنیت برای نهادهایی که اطلاعات محافظت‌شده را مدیریت می‌کنند توصیه می‌شود. دامنه تست نفوذ باید شامل تمام سیستم‌هایی باشد که در آن PHI دسترسی‌پذیر، ذخیره و منتقل می‌شود.

مقررات عمومی حفاظت از داده‌ها (General Data Protection Regulation)

GDPR سازمان‌ها را موظف می‌کند که با اقدامات فنی و سازمانی مناسب که شامل آزمایش و ارزیابی منظم امنیتی است از داده‌های شخصی محافظت کنند. اگرچه GDPR نیازی به آزمایش نفوذ ندارد اما برای حفاظت از داده‌ها پیشنهاد می‌شود.

استاندارد بین‌المللی برای الزامات مدیریت در زمینه امنیت اطلاعات (International Standard on requirements for information security management یا ISO 27001)

ISO 27001 استاندارد جهانی برای مدیریت امنیت اطلاعات در سازمان‌هاست که ساخت و نگهداری سیستم مدیریت امنیت اطلاعات (Information Security Management System) را هدایت می‌کند. اگرچه این استاندارد انجام تست نفوذ را الزام نمی‌کند اما استفاده از چنین ارزیابی‌هایی را در چارچوب خود برای مدیریت موثر خطرات پشتیبانی می‌کند. سازمان‌ها تشویق می‌شوند تا ارزیابی‌های منظم ریسک از جمله تست نفوذ را برای شناسایی و رفع آسیب‌پذیری‌ها انجام دهند. این تست‌ها می‌توانند اثربخشی کنترل‌های امنیتی اجرا شده را تأیید کنند که برای فرآیند بهبود مداوم مورد نیاز ISO 27001 بسیار مهم هستند. شرکت‌ها با ادغام تست نفوذ می‌توانند اقدامات امنیتی خود را افزایش داده، از انطباق با استاندارد اطمینان حاصل کنند و تعهد قوی به محافظت از داده‌های حساس نشان دهند.

نقش تست نفوذ در ارتقای امنیت

فراتر رفتن از الزامات انطباق

تست نفوذ نقش مهمی در امنیت سایبری ایفا می‌کند که بسیار فراتر از انطباق اولیه با چارچوب‌های نظارتی است. در حالی که تست‌های نفوذ مبتنی بر الزامات تطبیق برای برآورده کردن الزامات قانونی خاص و اطمینان از موفقیت سازمان‌ها در ممیزی‌های نظارتی طراحی شده‌اند، تست‌های نفوذ مبتنی بر امنیت، عمیق‌تر عمل می‌کنند. این تست‌ها نه تنها برای رعایت الزامات تطبیق انجام می‌شوند؛ بلکه به‌طور فعال به دنبال یافتن و رفع آسیب‌پذیری‌هایی هستند که ممکن است توسط مهاجمان مورد سوءاستفاده قرار گیرند. این نوع تست، تدابیر امنیتی موجود را به‌صورت سخت‌گیرانه‌تری به چالش می‌کشد و سعی دارد نقاط ضعف احتمالی را که در ممیزی‌های تطبیق ممکن است به‌طور خاص مورد توجه قرار نگیرند، شناسایی کند.

کشف مسائل امنیتی عدم‌انطباق

تست نفوذ می‌تواند آسیب‌پذیری‌های امنیتی را نشان دهد که لزوماً شامل اقدامات انطباق نیستند اما برای حفظ امنیت سایبری قوی بسیار مهم هستند.

به‌عنوان مثال:

• آسیب‌پذیری‌های روز صفر (Zero-Day Vulnerabilities): این‌ آسیب‌پذیری‌ها قبلاً ناشناخته بودند و هیچ پچی (patch) برای آن‌ها وجود ندارد. تست نفوذ می‌تواند به کشف چنین آسیب‌پذیری‌هایی قبل از سوء‌استفاده عوامل مخرب کمک کند.
• تهدیدات داخلی: تست نفوذ با شبیه‌سازی حملاتی که ممکن است شخصی در سازمان انجام دهد می‌تواند به شناسایی راه‌هایی که نفوذی برای دسترسی به اطلاعات حساس طی می‌کند کمک کند.
• آسیب‌پذیری‌های زنجیره‌ای: آسیب‌پذیری‌های فردی ممکن است گاهی اوقات حیاتی به‌نظر نرسد اما در صورت سوء‌استفاده همزمان، می‌تواند منجر به نقض‌های جالب‌توجهی شود. تست نفوذ می‌تواند این زنجیره‌های پیچیده ضعف را آشکار کند.
• خطاهای منطقی تجاری: این‌ خطاها، مشکلاتی در نحوه پیاده‌سازی منطق برنامه هستند که ممکن است به کاربران اجازه دهد اقدامات ناخواسته‌ای انجام دهند. چنین مشکلاتی اغلب در بررسی‌های انطباق استاندارد نادیده گرفته می‌شود.

نقش هکرهای اخلاقی و متخصصان امنیتی

هکرهای اخلاقی و متخصصان امنیتی به دلیل تکنیک‌هایی که استفاده می‌کنند برای فرآیند شبیه‌سازی حمله در دنیای واقعی حیاتی هستند. هکرهای اخلاقی به‌طور قانونی از بردارهای حمله (attack vectors) مختلفی مانند مهندسی اجتماعی، نقض امنیت فیزیکی و تهدیدات مداوم پیشرفته استفاده می‌کنند تا تعیین کنند مکانیسم‌های دفاعی سازمان در برابر حمله مهاجم واقعی تا چه حد خوب عمل می‌کنند. چنین آزمایشی همیشه زنگ خطری برای سازمان است زیرا شبیه‌سازی، سازمان‌ها را در برابر حملات آماده می‌کند. علاوه بر این، پرسنل امنیتی می‌توانند در مورد تهدیدات احتمالی و نیاز به حفاظت از انتخاب شفاف‌سازی و کمک کنند.

متخصصان امنیتی همچنین به تعلیم سازمان‌ها در زمینه تهدیدات احتمالی و آموزش به کارکنان برای هوشیاری در مورد امنیت کمک می‌کنند که اغلب فراتر از توان الزامات انطباق است.

در اصل، انطباق تضمین می‌کند که سازمان با مجموعه‌ای از استانداردهای تعریف‌شده مطابقت دارد اما تست نفوذ از آن‌ها پیشی می‌گیرد و اطمینان حاصل می‌کند که تصویر کاملاً واضحی از آمادگی سطح امنیت ترسیم کند. روش دو طرفه در هرزمینه تضمین می‌کند که نه تنها به قوانین پایبند هستند بلکه واقعاً از انواع تهدیدات سایبری جلوگیری می‌کنند.

مطالعه موردی

واکنش به حادثه و انطباق با حادثه: مطالعه موردی حملات اخیر از جف تاتون

این مطالعه موردی بر محدودیت‌های حیاتی تکیه بر استانداردهای انطباق مانند PCI-DSS برای امنیت سازمانی تأکید دارد.

جف تاتون به نکات کلیدی زیر می‌پردازد:

• دامنه استانداردهای انطباق: تمرکز PCI-DSS در درجه اول بر حفاظت از داده‌های کارت اعتباری است و سازمان‌ها را به نادیده‌گرفتن سایر داده‌ها و سیستم‌های حساس که تحت پوشش این استانداردها نیستند سوق می‌دهد.
• رویکرد اقدامات لازم: تنها اتکا به ارزیابی‌های واجدان شرایط می‌تواند منجر به فرآیند بررسی سطحی شود که ممکن است نیازهای امنیتی گسترده و تهدیدات خاص را هدف قرار ندهد و انطباق را به جای ارزیابی امنیتی عمیق، پیش‌پاافتاده در نظر بگیرد.
• متعادل کردن منابع: این مطالعه به معضلی که سازمان‌ها در تخصیص منابع محدود با آن مواجه هستند اشاره می‌کند. این سوال مطرح می‌شود که آیا تمرکز بر انطباق ممکن است از رسیدگی به نیازهای امنیتی گسترده بکاهد یا خیر؛ بنابراین سایر مناطق را آسیب‌پذیرتر می‌شود.

واکنش به حادثه: آسیب‌پذیری ریشه‌ای، نتیجه عدم‌برنامه‌ریزی و تمرین مسمتر واکنش به حادثه است. این مطالعه تاکید می‌کند که سازمان‌ها اغلب نمی‌توانند واکنش مناسب به حوادث را به اندازه کافی تمرین کنند که این امر می‌تواند منجر به واکنش‌های ناکارآمد به نقض واقعی شود.

آگاهی از عوامل خارجی: این مطالعه همچنین به اهمیت درک محیط‌های سیاسی و خارجی که می‌تواند خطر هدف قرار گرفتن سازمان را افزایش دهد اشاره می‌کند.

بررسی‌های امنیتی مبتنی بر انطباق اغلب به‌طور محدود بر الزامات نظارتی خاص تمرکز می‌کنند که می‌تواند سایر آسیب‌پذیری‌های حیاتی را بدون رسیدگی باقی بگذارد.

یک شرکت خدمات مالی را در نظر بگیرید که دائماً تست‌های نفوذ مبتنی بر انطباق را با رعایت دقیق الزامات PCI DSS انجام می‌دهد. این تست‌ها در درجه اول بر آسیب‌پذیری‌های سطحی در سیستم‌های پرداخت تمرکز دارند. با این حال، تصور کنید که یک تست نفوذ مبتنی بر امنیت جامع، آسیب‌پذیری روز صفر را در نرم‌افزار شخص ثالث پیدا می‌کند که در فهرست اقدامات انطباق گنجانده نشده است. این اتفاق می‌تواند دسترسی غیرمجاز به داده‌های حساس مشتری را فراهم کند.

بررسی‌های امنیتی مبتنی بر انطباق گاهی اوقات می‌توانند بیش از حد تمرکز کنند و آسیب‌پذیری‌های مهم را که ارزیابی‌های امنیتی گسترده کشف می‌کند را جا بیندازند. چنین مواردی بر نیاز به رویکرد جامع‌تر برای آزمایش امنیتی تأکید می‌کند که می‌تواند فراتر از انطباق صرف برای اطمینان از محافظت قدرتمند در برابر تهدیدات باشد.

یکپارچه‌سازی تست نفوذ در استراتژی امنیتی

استراتژی‌هایی برای یکپارچه سازی تست نفوذ منظم

اتخاذ روش ساختاریافته‌ای که مکمل اهداف امنیتی فراگیر و تاکتیک‌های مدیریت ریسک باشد برای گنجاندن موثر تست نفوذ در اقدامات امنیتی شرکت ضروری است. رویکردهای زیر را در نظر بگیرید:

• جدول زمانی تست سازگار: جدول زمانی ثابتی برای انجام تست‌های نفوذ طراحی کنید که از دستورات انطباق صرف فراتر برود. بسته به وضعیت ریسک سازمان و حساسیت داده‌ها این جدول زمانی می‌تواند برنامه سالانه، شش ماهه یا سه ماهه را پوشش دهد.
• محدوده‌های تست متنوع: دامنه تست نفوذ را جوری تنظیم کنید تا عناصر مختلف راه‌اندازی فناوری اطلاعات از جمله زیرساخت‌های شبکه، برنامه‌های نرم‌افزاری و سیستم‌های نقطه پایانی را در بر بگیرد. این نوع از تنظیمات، آزمایش جامع سیستم‌های مختلف را دوره‌ای تضمین می‌کند. حتماً تست نفوذ داخلی را هم به این تنظیمات اضافه کنید تا بتوانید به آن‌چه ارزیابی می‌شود دسترسی داشته باشید.
• شبیه‌سازی‌های باورپذیر حمله سایبری: در تمرینات گروه شبیه‌ساز (red team) شرکت کنید که در آن هکرهای اخلاقی از تهدیدات سایبری واقعی تقلید می‌کنند تا استحکام اقدامات امنیتی را هم فیزیکی و هم دیجیتال را بسنجند.
• واکنش چندجانبه به حادثه: آگاهی به‌دست‌آمده از تست‌های نفوذ را با استراتژی‌های واکنش به حادثه خود ادغام کنید. از این آگاهی برای افزایش آموزش تیم‌های پاسخگویی و تقویت توانایی سازمان جهت مدیریت سریع‌تر و موثرتر نقض‌های امنیتی استفاده کنید.
• استفاده از ابزارها و تکنیک‌های متنوع: طیف گسترده‌ای از ابزارها و تکنیک‌ها را در تست نفوذ برای شناسایی انواع آسیب‌پذیری‌ها اعمال کنید. این عمل به‌صورت استفاده از اسکنرهای خودکار، روش‌های تست عملی و اسکریپت‌های سفارشی که مناسب محیط‌های خاص است رخ می‌دهد.

مقایسه اقدامات لازم جهت بهبود مستمر امنیت با اقدامات لازم برای انطباق‌پذیری

تبدیل تست نفوذ به استراتژی امنیتی مداوم که بر بهبود مستمر تأکید دارد و فراتر از رویکرد انطباق حرکت می‌کند از طریق این اقدامات صورت می‌گیرد:

• وضعیت امنیتی پیشگیرانه: تست نفوذ منظم، امنیت پیشگیرانه را تقویت می‌کند که در آن تهدیدات قبل از این‌که مهاجمان بتوانند از آن‌ها سوء‌استفاده کنند شناسایی و کاهش داده می‌شوند. این رویکرد بر خلاف ماهیت ایستایی انطباق، پویا و سازگار است.
• حلقه‌های بازخورد: بهبود مستمر که شامل راه‌اندازی حلقه‌های بازخورد است نتیجه حاصل از آن را در تست نفوذ تجزیه‌وتحلیل می‌کند و جهت اصلاح سیاست‌ها، رویه‌ها و کنترل‌های امنیتی استفاده می‌شود. این فرآیند تکراری به افزایش مداوم اقدامات امنیتی کمک می‌کند.
• تغییر فرهنگی: تحول از ذهنیت متمرکز بر انطباق به ذهنیت متمرکز بر امنیت نیاز، به تغییر فرهنگی در سازمان دارد. امنیت به مسئولیت همگانی تبدیل می‌شود که تنها بر دوش بخش فناوری اطلاعات نباشد.

منبع

• چرا تست نفوذ باید فراتر از الزامات انطباق انجام شود؟

  تست نفوذ فراتر از انطباق، به سازمان‌ها کمک می‌کند تا آسیب‌پذیری‌هایی را که در الزامات نظارتی استاندارد لحاظ نشده‌اند، شناسایی و رفع کنند. این امر باعث می‌شود که سازمان‌ها در برابر تهدیدات روز صفر، تهدیدات داخلی، و ضعف‌های زنجیره‌ای ایمن‌تر شوند. علاوه بر این، این رویکرد تدابیر امنیتی را به‌صورت جامع‌تری به چالش می‌کشد و اطمینان حاصل می‌کند که سیستم‌ها در برابر تهدیدات واقعی مقاومت بیشتری دارند.

• چه تفاوتی میان تست نفوذ انطباق‌محور و امنیت‌محور وجود دارد؟

  تست نفوذ انطباق‌محور با هدف رعایت الزامات قانونی و گذراندن ممیزی‌های نظارتی انجام می‌شود و معمولاً به بررسی بخش‌های خاصی از سیستم محدود است. در مقابل، تست نفوذ امنیت‌محور جامع‌تر عمل می‌کند و به‌دنبال شناسایی و رفع تمامی آسیب‌پذیری‌هایی است که ممکن است توسط مهاجمان مورد سوءاستفاده قرار گیرد، حتی اگر این آسیب‌پذیری‌ها در چارچوب‌های انطباقی ذکر نشده باشند.

• شرکت‌ها چگونه می‌توانند تست نفوذ را به استراتژی امنیتی خود یکپارچه کنند؟

  برای یکپارچه‌سازی تست نفوذ، شرکت‌ها می‌توانند جدول زمانی منظمی برای انجام آن تدوین کنند، دامنه تست را به زیرساخت‌های شبکه، برنامه‌ها و سیستم‌های مختلف گسترش دهند، از شبیه‌سازی‌های حملات سایبری واقعی (مانند تمرینات گروه شبیه‌ساز) استفاده کنند، و نتایج تست نفوذ را با استراتژی‌های واکنش به حادثه ترکیب کنند. همچنین استفاده از ابزارها و تکنیک‌های متنوع، شناسایی آسیب‌پذیری‌های گسترده‌تر را تضمین می‌کند.