ارزیابی امنیتی یا تست نفوذ

آسیب پذیری Vulnerability  

در یک نگاه همه جانبه آسیب پذیری، به نقاط ضعف موجود در سطح یک شبکه و سیستم های کامپیوتری قابل دسترس از طریق شبکه، گفته می شود.

به دیگر سخن به هر نقطه ضعف موجود در سیستم های اطلاعاتی، مکانیزم های امنیتی سیستم ، کنترل های داخلی یا پیاده‌سازی سیستم که ممکن است باعث بروز حمله شوند آسیب پذیری می‏گویند.

افرادی که به عنوان نفوذگر در دنیای کامپیوتر فعالیت می‏کنند معمولا با شناسایی آسیب پذیری های موجود در یک سامانه یا یک شبکه و به واسطه استفاده از روش های گوناگونی که در حوزه امنیت اطلاعات مطرح هستند می توانند به صورت غیرمجاز و غیرقانونی به اطلاعات حساس و مهم دسترسی داشته باشند و پس از کشف، از آنها به نفع خود سوءاستفاده کنند.

آنالیز و ارزیابی آسیب پذیری:

در فرآیند آنالیز آسیب پذیری تمامی مشکلاتی که در ادامه می‏توانند منجر به ایجاد ریسک های امنیتی شوند مورد بررسی و ارزیابی کارشناسان قرار می‏گیرند و در ادامه تحقیق های گوناگون امنیتی برای پوشاندن حفره های امنیتی فراهم می‏شود.

در واقع در این فرآیند تمامی نقاطی که به عنوان آسیب پذیری می‏توانند موفقیت یک پروژه مشخص را با شکست روبرو کنند بررسی می‏شوند و در ادامه سعی می‏شود با ارائه راهکارهای مشخص و پیشگیرانه از وقوع تهدیدهای امنیتی و بروز ریسک ها جلوگیری شود.

به دیگر سخن در فرآیند آنالیز آسیب پذیری تمامی دارایی  های موجود و قابل استفاده یک سازمان بررسی می‏شوند و در ادامه، ریسک های امنیتی که می‏توانند در آینده و توسط تهدیدهای گوناگون در آن سازمان ایجاد شوند به صورت دقیق کشف میشوند و سپس سعی می‏شود از دارایی های بررسی شده، حفاظت های امنیتی ارزنده ای به عمل آورد.

Vulnerability Assessment vs Penetration Testing : تمرکز خدمات ارزیابی آسیب‌‌پذیری،بر شناسایی آسیب‌‌پذیری های موجود در شبکه می باشد و برای تخمین اینکه یک شبکه تا چه حد مستعد آسیب‌‌پذیری های شناخته شده می‏باشد کاربرد دارد. ارزیابی آسیب‌‌پذیری شامل استفاده از ابزار های خودکار نظیر Nessus ، OpenVAS و … می باشد که نتایج آنها در قالب گزارش به مشتریان ارائه می شود . نکته ی قابل توجه اینجاست که ارزیابی آسیب‌‌پذیری به هیچ عنوان شامل اقدامات نفوذ نمی شود، به این معنی که کاربر پس از شناسایی و گزارش آسیب‌‌پذیری ها ، با استفاده از آن آسیب‌‌پذیریها و یا سایر متد ها اقدامی در جهت نفوذ به شبکه انجام نمی دهد.بر همین اساس ممکن است برخی از آسیب‌‌پذیری های موجود در گزارش واقعی نبوده و False Positives تلقی گردند.

ارزیابی آسیب‌پذیری، سازمان‌ها را از ضعف‌های موجود در محیطشان آگاه می‌کند و راهنمایی می‌کند که چگونه ریسک ناشی از این ضعف‌ها را کاهش دهند. فرآیند ارزیابی آسیب‌پذیری به کاهش احتمال نفوذ مهاجم به سیستم‌های IT سازمان کمک می‌کند و درک بهتری از دارایی‌ها، آسیب‌پذیری‌های آنها و خطر کلی برای یک سازمان به دست می‌دهد. برای سازمان هایی که به دنبال کاهش ریسک امنیتی خود هستند، ارزیابی آسیب پذیری محل خوبی برای شروع است.

بر خلاف ارزیابی آسیب‌‌پذیری، تست‌نفوذ شامل شناسایی آسیب‌‌پذیری ها و تلاش برای Exploit کردن  آنها جهت نفوذ به شبکه می باشد. در واقع هدف اصلی از تست‌نفوذ، نشان دادن سطح قابل استفاده بودن یک آسیب‌‌پذیری می باشد. اگر شخص نفوذگر ازیک آسیب‌‌پذیری جهت نفوذ به شبکه استفاده نماید آن آسیب‌‌پذیری و نتیجه استفاده از آن را ( که آیا منجر به نفوذ شده یا خیر ) ، در گزارش خود قید می نماید .

بنابراین گزارش نهایی می تواند شامل آسیب‌‌پذیری های  Exploit  نیز باشد. توجه داشته باشید که این  آسیب‌‌پذیری های غیرقابل Exploitرا با آسیب‌‌پذیری های False Positives اشتباه نگیرید.آسیب‌‌پذیری‌های غیرقابل Exploit در واقع آسیب‌‌پذیری هایی هستند که ممکن است ابزار Exploit  مربوط به آنها هنوز در دسترس همگان قرار نگرفته باشد و تعداد معدودی از افراد در DarkWeb  به آن دسترسی داشته باشند اما هنوز همآسیب‌‌پذیری محسوب می گردند. همچنین مممکن است Exploit  کردن آنها موجب بروز اخلال در عملکرد سیستم و یا Dos شود.

در فرایند تست‌نفوذ، مراحل اولیه شامل استفاده از ابزار های خودکار جهت شناسایی آسیب‌‌پذیری می‏باشد اما پس از آن  بیشتر فرایند به صورت دستی و توسط افراد خبره انجام می شود تا بتوانند به نحوی به شبکه‏ هدف نفوذ کنند و یا اخلالی در عملکرد آن ایجاد نمایند.

تفاوت های تست‌نفوذ و ارزیابی آسیب‌پذیری: یک تفاوت کلیدی میان ارزیابی آسیب پذیری و تست‌نفوذ سطح پوشش آسیب‌‌پذیری هاست . در ارزیابی آسیب پذیری سعی بر شناسایی و گزارش تمامی آسیب‌‌پذیری هاست حتی اگر قابل استفاده نباشند ، حال آنکه درتست‌نفوذ،هدف اصلی شناسایی آسیب‌‌پذیری هایی است که بتوان از آنها استفاده کرده و به عمق شبکه نفوذ کرد. ارزیابی آسیب‌‌پذیری توسط ابزار گوناگون و به صورت خودکار انجام می شود حال آنکه بخشی از تست‌نفوذ که مربوط به شناسایی آسیب‌‌پذیری ها بوده به صورت خودکار و توسط ابزار انجام می شود و بخش اعظم کار که همان نفوذ با استفاده از آسیب‌‌پذیری هاست به صورت دستی و توسط افراد خبره انجام می شود . تست‌نفوذ بهتر است یا ارزیابی آسیب‌پذیری؟!

با توجه به نیاز ها و واقعیت های موجود در امنیت فضای تبادل اطلاعات نمی توان گفت کدامیک بر دیگری برتری دارد بلکه می توان گفت این دو به نحوی مکمل یکدیگر هستند.

چرا که اگر در ارزیابی آسیب‌‌پذیری هیچ آسیب‌‌پذیری شناسایی نشود به معنی امن بودن شبکه نیست چرا که ارزیابی آسیب‌‌پذیری به شناسایی آسیب‌‌پذیری های منطقی و ساختاری نمی پردازد و همچنان شخص نفوذگر می تواند بااستفاده از این آسیب‌‌پذیری ها و سایر متد ها نظیر مهندسی اجتماعی به شبکه نفوذ نماید و از طرف دیگر تست‌نفوذی که شامل ارزیابی آسیب‌‌پذیری نباشد تمامی نقاط ضعف را پوشش نمی‏دهد.
پس بهتر است خدماتی را انتخاب نمایید که در کنار تست‌نفوذ، ارزیابی امنیتی را نیز به شما ارائه دهند