logo

نت کاران ارتباط ایمن

بهره گیری از بهترین و کارآمدترین متخصصان حوزه امنیت با ابزارهای اختصاصی تیم تست نفوذ همراه با متدهای استاندارد تست نفوذ و متدهای ترکیبی
info@netkaran.com
09127743834

متدولوژی و استاندارد های تست نفوذ

نت کاران ارتباط ایمن > هک و امنیت  > متدولوژی و استاندارد های تست نفوذ

متدولوژی و استاندارد های تست نفوذ

مجرمان سایبری با روش های مختلفی به دنبال اطلاعات افراد و سازمان ها هستند. اما مهمترین دلیلی که آنها را در رسیدن به هدفشان موفق می کند، ضعف در قوانین و عدم رعایت استاندارد های امنیتی است. که به آنها اجازه می دهد در سیستم ها رخنه کنند و به اطلاعات دسترسی یابند. برای جلوگیری از نفوذگران یکسری پروتکل های امنیتی قبلا توسعه یافتند که به صورت موثر جلوی بسیاری از نفوذگران رو می گیرند. اما با تغییر سریع در حمله به راحتی این موانع دور زده می شوند. متخصصان حوزه امنیت با تلاش های بسیار راه های موثری را برای جلوگیریی از نفوذگران طراحی کرده اند. در زیر استاندارد های موفق برای امنیت مورد بحث قرار می گیرند و این ایده رو می دهند که امنیت اطلاعات چطور حاصل می شود:

(PTES (Penetration Testing Methodologies and Standards

این استاندارد هر چیزی که به تست نفوذ مربوط باشد را پوشش می دهد. از آغاز ارتباط، اطلاعات جمع آوری می کند و همچنین فازهای مدلسازی را پوشش می دهد که متخصصان تست نفوذ با استفاده از آن و جستجوی رخنه های امنیتی مشکلات سازمان را بهتر بفهمند و از آن رخنه ها استفاده کنند.

 

استاندارد PTES شامل هفت فاز زیر است:

 

PTES حداقل هایی که برای تست نفوذ مورد نیاز هستند را تعریف می کند. علاوه بر آن چندین سناریوی پیشرفته با امنیت بسیار بالا که بسیار جامع هستند را برای نیازهای سازمان ارائه می دهد.

فاز اول :: Pre-engagement Interactions

در این فاز ما ابزارهای لازم از قبیل: نرم افزار، سیستم عامل و… که برای تست نفوذ مورد استفاده قرار می گیرند را جمع آوری می کنیم. در حالیکه انتخاب ابزارهای مورد نیاز در طول تست نفوذ تاثیر بر روی چندین فاکتور از جمله نوع و عمق هدف دارد.

 

در اینجا چند تا از رایجترین و پایه ای ترین ابزارهای مورد استفاده در تست نفوذ را ذکر کرده ایم:

 

نرم افزار VMware:

با استفاده از VMware می توان چندین سیستم عامل رو در کنار راه اندازی کرد.

 

Linux Based Operating System:

بدلیل وجود ابزارهای بسیار کاربردی در محیط لینوکس اغلب تست های نفوذ در سیستم عامل لینوکس انجام می پذیرد.

 

Windows-Based Operating System:

وجود یکسری ابزارهای موثر در سیستم عامل ویندوز استفاده از آن نیز تاکید می شود.

 

Wifi Adapter:

برای تست از شبکه های بی سیم مورد استفاده قرار می گیرد.

 

ابزارهای رایج دیگر از قبیل:

  • Maltego
  • Nessus
  • Nespose
  • Rainbow Crack
  • Dnsmap
  • The Social Engineering Toolkit (SET)
  • The Metasploit Toolkit
  • Dnsrecon

فاز دوم :: Intelligence Gathering

در این فاز، اطلاعات یا داده ها جمع آوری می شوند تا در ارزیابی عملکرد مورد استفاده قرار گیرند. اطلاعات جمع آوری شده می تواند راز های سازمان، اطلاعات خصوصی، اطلاعات سایر رقبا، موارد حساس را در برگیرند.

فاز سوم :: Threat Modeling

Threat Modeling یا مدل سازی تهدید یک پردازشی است برای بهینه سازی امنیت شبکه بوسیله شناسایی آسیب پذیری ها و تعریف اقدامات متقابل برای جلوگیری یا کاهش اثرات تهدید به سیستم. مدلسازی تهدید تعیین می کند که بیشترین تلاش ها باید متمرکز شود برای ایمن سازی سیستم.

فاز چهارم :: Vulnerability Analysis

 

فاز تحلیل آسیب پذیری ها برای شناسایی و ارزیابی مخاطرات امنیتی استفاده می شود. پردازش تحلیل آسیب پذیری به دو بخش تقسیم می شود. شناسایی و اعتبار.

  • شناسایی: کشف آسیب پذیری وظیفه اصلی این مرحله است.
  • اعتبار: در این مرحله، ما تعداد آسیب پذیری ها را به موارد معتبر محدود می کنیم.

فاز پنجم :: Exploitation

 

پس از یافتن آسیب پذیری ها، ما به بهره برداری از آنها می پردازیم و سعی در نفوذ در سیستم و محک امنیت آن می کنیم.برای بهره برداری یا Exploitation ما از فریم ورک و نرم افزارهای مختلفی استفاده می کنیم. برخی از این ابزارها عبارتند از:

  • Core IMPACT
  • SAINT Scanner and Exploit
  • Metasploit Framework
  • SQL Map
  • Canvas
  • Social Engineering Toolkit
  • Netsparker

فاز ششم :: Post-Exploitation

 

در این فاز ما ارزش ماشین های در معرض خطر را تعیین می کنیم و تعداد دسترسی برخی ماشین ها را برای استفاده مجدد حفظ می کنیم. ارزش ماشین بوسیله حساسیت داده های ذخیره شده بر روی آن تعیین می شود و یا ماشین هایی که امنیت شبکه را به خطر می اندازند.

فاز هفتم :: Reporting

 

در این فاز ما یک گزارش قابل قبول سازمان بر اساس ساختار و سیستمشان از هر آنچه که پیدا کرده ایم تهیه می کنیم. در اینجا انواع مختلف گزارشات را به اختصار نام برده ایم:

  • Executive Level Reporting
    • Business Impact
    • Customization
    • Talking to the business
    • Affect bottom line
    • Strategic Roadmap
    • Maturity model
    • Appendix with terms for risk rating
  • Technical Reporting
    • Identify systemic issues and technical root cause analysis
    • Maturity Model
    • Technical Findings
      • Description
      • Screenshots
      • Ensure all PII is correctly redacted
      • Request/Response captures
      • PoC examples
      • Ensure PoC code provides benign validation of the flaw
    • Reproducible Results
      • Test Cases
      • Fault triggers
    • Incident response and monitoring capabilities
      • Intelligence gathering
      • Reverse IDS
      • Pentest Metrics
      • Vulnerability Analysis
      • Exploitation
      • Post-exploitation
      • Residual effects (notifications to
      • ۳rd parties, internally, LE, etc…)
    • Common elements
      • Methodology
      • Objective(s)
      • Scope
      • Summary of findings
      • Appendix with terms for risk rating

OWASP

OWASP یک انجمن مستقل آزاد است که برروی پیدا کردن و مبارزه با دلایل ضعف امنیتی نرم افزار ها فعالیت می کند. OWASP نوع جدیدی از موجودیت مستقل در مارکت امنیت است که ابزارها و اسناد رایگان جهت ارتقا امنیت اپلیکیشن ها ارائه می دهد.

OWASP وقف این شده است که سازمان ها را برای فهمیدن، توسعه، بدست آوردن و تولید نرم افزار های معتبر قادر سازد.

OSSTMM

OSSTMM مخفف عبارت Open Source Security Testing Methodology Manual است که یک راهنمای کارشناسی شده از تست های امنیتی و تحلیل و بررسی که حاصل حقایق تایید شده است می باشد. درحالیکه این راهنما برای این آماده نشده که شما از آن برای یک نرم افزار خاص یا پروتکل شبکه استفاده کنید.

 

مخاطبان هدف

 

OSSTMM برای توسعه دهندگان امنیت و متخصصان تست نفوذ نوشته شده است. این راهنما برای متخصصان شبکه مفید است. همچینین برای توسعه دهندگان مفید است تا بتوانند شبکه، فایروال، اپلیکیشن ها و ابزار های تست بهتری بسازند.

 

پردازش

 

یک تست امنیتی شامل دو نوع مختلف حمله می شود:

Passive Attack:

اغلب از داده هایی که مستقیم با شبکه و سیستم هدف در ارتباط نیستند استخراج می شوند.

 

Intrusive Attack:

اغلب از داده هایی که مستقیم با شبکه و سیستم هدف در ارتباط هستند استخراج می شوند.

 

پردازش در هر تست امنیتی می تواند به شکل زیر باشد:

 

NIST 800-15

موسسه ملی استاندارد و تکنولوژی یا NIST نسخه ۱۵-۸۰۰ اختصاصا برروی حداقل مشخصات متقابل برای کلید های عمومی زیرساخت (PKI) اجزا (MISPC) تمرکز دارد. MISPC از قابلیت همکاری برای طیف وسیع کلید های عمومی زیرساخت (PKI) که صادر کردن، لغو کردن و مدیریت X.509 نسخه ۳ گواهی کلید عمومی امضای دیجیتال و نسخه ۲ CRLs پشتیبانی می کند.

 

هدف

MISPC یک پایگاه برای برقرای ارتباط بین علمکردی بین کلید های عمومی زیر ساخت (PKI) از فروشندگان مختلف فراهم می کند.

منبع: http://resources.infosecinstitute.com/penetration-testing-methodologies-and-standards/

user-gravatar
محمد رمضان پور
بدون دیدگاه

ارسال یک نظر

نظر
نام
ایمیل
وبسایت