مرکز فناوری ارتباطات و امنیت بیژیسم
شکل ۱ متدلوژی ارزیابی امنیتی و تست‌نفوذ مرکز فناوری های ارتباطات و اطلاعات بیژیسم
نوع منابع در هر پروژه ارزیابی امنیتی مشخص می‌گردد. این منابع شامل افراد متخصص درگیر در پروژه، بودجه‌ی کارفرما، نوع ابزارهای مجاز و تکنیک‌های نفوذ مجاز، نوع تست اعم از تست جعبه‌سفید(White test)، جعبه خاکستری(Gray test) و جعبه سیاه(Black test)، هدف پروژه، دامنه‌ی پروژه و همه‌ی اطلاعاتی این‌چنینی می‌شود.
تیم ارزیاب در این مرحله به شناسایی سایبری سیستم‌های هدف خواهد پرداخت. تک‌تک سرورهای موجود در دامنه‌ی پروژه دارای پرونده‌ی خاص خود شده و تمامی اطلاعات اعم از نشانی آی‌پی، نوع سیستم، فنّاوری‌های مورد استفاده‌ی آن، زبان‌های برنامه‌نویسی مورد استفاده، نوع تجهیزات موجود در شبکه و توپولوژی شبکه، مسئولین هر سرور و شماره تماس آن‌ها، اطلاعات موجود در منابع عمومی و به طور کلی هر نوع اطلاعات دیگر که با یا بدون تعامل با کارفرما می‌توان آن‌ها را به دست آورد.
با توجه به مرحله‌ی قبل تیم ارزیاب به آماده‌سازی ابزارها و افراد متخصص مرتبط با پروژه می‌پردازد. همچنین نحوه‌ی تقسیم شدن کار بین اعضا و نقشه عملکردی آن‌ها مشخص خواهد شد. به عنوان مثال اگر در یک پروژه تماماً از زبان برنامه‌نویسی جاوا جهت نوشتن برنامه‌های کاربردی استفاده شده است، افراد متخصص در امنیت جاوا و همچنین ابزارهای تست نفوذ این زبان برنامه‌نویسی و فریم‌ورک‌های آن آماده خواهد شد.
در این مرحله که تیم ارزیاب حداکثر آسیب‌پذیری‌های ممکن را در سرورهای سازمان هدف کشف کرده است سعی در نفوذ به آن‌ها با استفاده از آسیب‌پذیری‌های خطرناک و نفوذ‌ساز می‌کند. این آسیب‌پذیری‌ها در واقع مواردی هستند که با استفاده از آن‌ها امنیت سازمان به حداقل ممکن رسیده و در واقع نابود خواهد شد. این کلاس از آسیب‌پذیری‌ها که به نفوذ کامل به سرور می‌انجامند مواردی هستند که تحت هر شرایطی در سرور باید اصلاح‌شده و حذف گردند. چراکه وجود آن‌ها هر نوع فعالیت امنیتی دیگر را نقض کرده و امنیت سیستم را به حداقل خواهند رساند.
در این بخش مستند دوم به کارفرما ارائه خواهد شد. حال که نسبت به دارایی‌ها و آسیب‌پذیری‌های هر کدام شناخت به عمل آمد، مستند دوم به مشتری کمک خواهد کرد که هر کدام از تهدیدات را چگونه خنثی کرده و آسیب‌پذیری را از میان بردارد.
مطالب مرتبط
امکان ارسال دیدگاه وجود ندارد!