اختبار الاختراق (Penetration Test) ويسمى أحيانا Pentest، هو وسيلة لتقييم أمان نظام حاسوب أو شبكة ما بواسطة محاكاة هجوم من قبل مخربين من الخارج (من ليست لديهم وسيلة مصرح بها للوصول إلى أنظمة المؤسسة) أو مخربين من الداخل (من لديهم تصريح جزئي للوصول).[1][2][3] تتكون العملية من تحليل فعال للنظام لكشف عن مواطن الضعف التي يمكن أن يكون سببها ضعف أو سوء في مكونات النظام، عيوب معروفة وغير معروفة في الأجهزة أو البرمجيات، أو نقاط ضعف تشغيلية في المعالجة أو التقنيات المضادة. قضايا الأمان التي تم الكشف عنها من خلال "اختبار الاختراق" تقدمة لمالك النظام. اختبارات الاختراق الفعالة سوف تربط هذه المعلومات مع تقييم دقيق للآثار المحتملة على المؤسسة وخلاصة مجموعة من الإجراءات الفنية للحد من المخاطر. تكمن قيمة "إخبار الاختراق" في عدت نقاط:
- تحديد الجدوى من مجموعة معينة من وسائل الهجوم.
- التعرف على نقاط الضعف الخطيرة التي تنتج عن مزيج من نقاط الضعف الأقل خطراً تم إستغلالها بتسلسل معين.
- تقييم قيمة الأعمال والتشغيلات المحتملة التي قد تتأثر بهجمات ناجحة.
- اختبار قدرة حماية الشبكة على تحديد هجوم والرد عليه بنجاح.
- تزويد أدله لدعم الاستثمارات المتزايدة في مجال أمن الافراد والتكنولوجيا.
الصندوق الأسود والصندوق الأبيض
اختبار الاختراق يمكن أن يتم بعدة طرق. الاختلاف الأكثر شيوعاً هو كم المعرفة المتوفرة للمُختبِر حول تفاصيل عمل النظام المرغوب اختباره، صندوق الاختبار الأسود يفترض عدم وجود أي معرفة مسبقة عن البنية التي يراد فحصها. يجب على المختبرين أولاً تحديد مكان وامتداد الأنظمة قبل البدء بتحليلاتهم. في الجهة المقابلة صندوق الاختبار الأبيض يزود المختبرين بمعرفة كاملة عن البنية المراد اختبارها، بما في ذلك عادة مخططات الشبكة، الشفرة المصدرية ومعلومات عنوان الآي بي. هناك أنواع أخرى من الاختبار تقع في المنتصف، عادة تعرف كصندوق الاختبار الرمادي. يمكن أن يتم وصف اختبار الاختراق باختبار "الكشف الكامل" (الصندوق الأبيض)، "الكشف الجزئي" (الصندوق الرمادي)، أو "أعمى" (الصندوق الأسود) اعتماداً على كم المعلومات المتوفرة لمجموعة المختبرين. إشكالية المزايا النسبية لهذه الطرق في أن، اختبار الصندوق الأسود يحاكي هجوماً من شخص غير معتاد على النظام في حين أن اختبار الصندوق الأبيض يحاكي ما قد يحدث خلال "عمل داخلي" أو بعد "تسرب" معلومات حساسة، عندما يصل المهاجم للشفرة المصدرية، مخططات الشبكة ويحتمل بعض كلمات المرور. الخدمات المعروضة بواسطة "شركات اختبار الاختراق" تمتد على نطاق مشابه، من مسح بسيط لعنوان الآي بي لمؤسسة ما، إلى فتح منافذ ولافتات تعريف إلى مراجعة كاملة للشفرة المصدرية لتطبيق أو برنامج معين.
مخاطر
اختبار الاختراق يمكن أن يكون تقنية لا تقدر بثمن لأي مؤسسة معلومات أو أمن برامج. صندوق اختبار الأختراق الأبيض الأساسي عادة يتم كعملية مؤتمته بشكل كامل وغير مكلفة. لكن صندوق الاختبار الاختراق الأسود هو نشاط عمل مكثف ويتطلب خبرة لتقليل الخطر على الأنظمة المستهدفة. كحد أدنى، قد يبطئ وقت استجابة شبكة المؤسسة بسبب فحص المنافذ والثغرات، بالإضافة لإمكانية أن الأنظمة قد تتعطل في فترة اختبار الاختراق ويمكن اعتبارها غير صالحة للعمل، مع ذلك المؤسسة تستفيد في معرفة أن النظام يمكن أن يعطل من قبل متسلل. على الرغم من أنه يمكن تخفيف هذا الخطر من خلال استخدام مختبري إختارق ذوي خبرة، لكن لا يمكن تفاديه بشكل كامل.
طالع أيضا
- أمن الحاسوب
- هجوم دون انتظار (Zero-day attack)
- باك تراك
مراجع
- Yost, Jeffrey R. (2007). de Leeuw, Karl; Bergstra, Jan (المحررون). A History of Computer Security Standards, in The History of Information Security: A Comprehensive Handbook. Elsevier. صفحة 601-602.
- Russell, Deborah; Gangemi, G.T. (1991). Computer Security Basics. O'Reilly Media Inc. ASIN B01K3K3KJ4. مؤرشف من الأصل في 23 مارس 2019.
- The basics of hacking and penetration testing, Elsevier, 2013 نسخة محفوظة 04 يناير 2017 على موقع واي باك مشين.