تست نفوذ یا پن تست (Penetration Test) چیست ؟

تست نفوذ (یا پن تست) یک تمرین امنیتی است که در آن یک متخصص امنیت سایبری تلاش می‌کند تا آسیب‌پذیری‌ها (نقاط ضعف) موجود در یک سیستم کامپیوتری را پیدا کرده و با سوء استفاده یا اکسپلویت کردن آن‌ها به سیستم یا شبکه سازمان نفوذ کند. هدف از این حمله شبیه‌سازی‌شده، شناسایی نقاط ضعف در لایه‌ها و مکانیزم‌های دفاع سایبری یک سیستم است که مهاجمان واقعی می‌توانند از آن بهره ببرند.

این کار شبیه به وضعیتی است که یک بانک فرد متخصص را استخدام می‌کند تا به عنوان یک سارق، سعی کند به ساختمان بانک نفوذ کرده و به گاوصندوق اصلی دسترسی پیدا کند. اگر این «سارق» بتواند وارد بانک شود و موفق به باز کردن گاو صندوق شود، بانک اطلاعات ارزشمندی در مورد چگونگی تقویت تدابیر امنیتی خود به دست می‌آورد.

این نوع تست‌ها که به عنوان هک اخلاقی نیز شناخته می‌شوند، اغلب توسط هکرهای اخلاقی انجام می‌گیرند. Pen Test یک اقدام امنیت سایبری فعال (Proactive)  محسوب می‌شود، زیرا شامل بهبودهای مستمر و کنشگرانه است که بر اساس گزارش‌های تولید شده توسط آزمون امنیتی صورت می‌گیرد. این رویکرد با روش‌های واکنشی(reactive)  که نقاط ضعف را به محض ظهور برطرف نمی‌کنند، متفاوت است. رویکردهای واکنشی پس از حمله عملیات خود را شروع می‌کنند و در حوزه فرآیندهای رسیدگی به وقایع (Incident Handling) قرار می‌گیرند.

انواع تست نفوذ

• White box Pen Test: در این حالت، اطلاعاتی مفیدی در مورد جزئیات امنیتی شرکت هدف، از قبل در اختیار پن تستر قرار داده می‌شود. مطلع بودن از تکنولوژی‌های مورد استفاده سازمان به آزمونگر کمک می‌کند که حمله خود به طور خاص برای تست راهکارهای پیاده سازی شده در سازمان معطوف کند.
• Black box Pen Test: در این حالت، به جز نام شرکت هدف، هیچ‌گونه اطلاعات پیش‌زمینه‌ای در اختیار هکر قرار نمی‌گیرد. آزمونگری که اقدام به تست نفوذ جعبه سیاه می‌کند، باید مهارت بالایی در شناسایی، جمع آوری اطلاعات، اکسپلویت نویسی داشته باشد و همانند یک هکر فکر و عمل کند.
• Crystal box Pen Test: جعبه شفاف یا کریستال حالتی از جعبه سفید است اما آزمونگر اطلاعات کامل و دقیقی از نحوه پیاده سازی تمامی روال‌ها و مکانیزم‌های امنیتی دارد. این تست معمولا توسط تولید کنندگان نرم افزاری برای بررسی عملکرد صحیح نرم افزار تولید شده انجام می‌شود.
• Gray box Pen Test: جعبه خاکستری ترکیبی از جعبه سیاه و سفید است. سازمان آزمون دهنده اطلاعات پایه‌ای در اختیار آزمونگر قرار می‌دهد اما نه به اندازه‌ای که هکر به طور کامل از توپولوژی و معماری امنیت سازمان اطلاع داشته باشد.

چه چیزهایی نیاز به پن تست دارند؟

• زیرساخت شبکه
• اپلیکیشن‌های وب
• سیستم عامل نقاط پایانی
• شبکه وایرلس
• مهندسی اجتماعی
• حفاظت فیزیکی

تست نفوذ شبکه

هدف اصلی این تست، شناسایی آسیب‌پذیری‌ها و نقاط ضعف امنیتی در زیرساخت شبکه یک سازمان (شامل سرورها، فایروال‌ها، سوئیچ‌ها، روترها، پرینترها، ایستگاه‌های کاری و موارد دیگر) است، پیش از آنکه مورد سوء استفاده قرار گیرند. تست نفوذ شبکه باید انجام شود تا کسب و کار شما در برابر حملات متداول مبتنی بر شبکه محافظت شود، از جمله:

• اشتباه در تنظیمات و دور زدن فایروال
• حملات اجتناب از سیستم‌های تشخیص/جلوگیری از نفوذ (IPS/IDS Evasion Attacks)
• حملات روتر، سوئیچ و سایر
• حملات سرویس DNS
• حملات SSHو سایر پروتکل‌های ریموت
• حملات پایگاه داده (Database Attacks)
• حملات مرد میانی (Man In The Middle)
• حملات مبتنی بر FTP/SMTP

با توجه به اینکه شبکه خدمات حیاتی و ماموریت‌محور را برای یک کسب و کار فراهم می‌کند، توصیه می‌شود که تست‌های نفوذ شبکه داخلی و خارجی حداقل سالانه انجام شوند. این امر پوشش کافی را برای محافظت از کسب و کار شما در برابر این بردارهای حمله فراهم می‌کند.

تست نفوذ وب اپلیکیشن‌ها

تست نفوذ برنامه کاربردی وب، یک حمله شبیه‌سازی شده به یک برنامه وب است تا آسیب‌پذیری‌هایی را که ممکن است به دلیل کدهای برنامه‌نویسی نادرست یا پیکربندی ضعیف (Misconfiguration) وجود داشته باشند، کشف کند. وب اپلیکیشن‌ها اغلب دروازه‌ای برای دسترسی به اطلاعات حساس (از جمله جزئیات مشتری و داده‌های مالی) هستند. بنابراین، هکرهای اخلاقی باید تلاش کنند تا نقاط ضعف احتمالی زیر را شناسایی کنند:

• آسیب‌پذیری‌های متداول: شامل SQL Injection،XSS  و CSRF
• نقص‌های منطقی: ایراداتی در نحوه طراحی و عملکرد برنامه که مهاجم می‌تواند از آن‌ها برای دور زدن کنترل‌ها استفاده کند.
• پیکربندی‌های نادرست: مشکلات موجود در سرورها، فایروال‌ها یا سیستم‌های مدیریت محتوا (CMS) که امنیت کلی برنامه را تضعیف می‌کنند.

انجام منظم این تست‌ها برای هر سازمانی که دارای پورتال‌های آنلاین، سامانه‌های تجارت الکترونیک (E-Commerce) یا هر نوع تعامل داده با مشتریان از طریق وب است، بسیار حیاتی است.

پن تست سیستم عامل Endpintها

نقاط پایانی شبکه شامل تمام دستگاه‌هایی هستند که به شبکه اصلی سازمان متصل می‌شوند، مانند لپ‌تاپ‌ها، کامپیوترهای رومیزی، سرورها، تلفن‌های هوشمند و تبلت‌ها. هدف از این نوع تست نفوذ، ارزیابی امنیت این دستگاه‌های مجزا است که اغلب اولین خط دفاعی (و همچنین آسیب‌پذیرترین نقطه ورود) برای یک مهاجم هستند. تست نفوذ نقاط پایانی، تمرکز خود را بر ارزیابی موارد زیر قرار می‌دهد:

1. پیکربندی سیستم عامل (OS Configuration): بررسی تنظیمات امنیتی سیستم عامل (مانند Windows، macOS یا Linux) برای اطمینان از اعمال دقیق‌ترین معیارهای امن سازی
2. کنترل‌های امنیتی محلی: آزمایش کارایی نرم‌افزارهای امنیتی نصب شده بر روی دستگاه‌ها، شامل:
   • نرم‌افزار ضد ویروس/ضد بدافزار (Antivirus/Anti-Malware)
   • ابزارهای تشخیص و واکنش نقطه پایانی (EDR)
   • فایروال‌های محلی (Local Firewalls)
3. مدیریت وصله‌ها (Patch Management): ارزیابی اینکه آیا سیستم‌های عامل و برنامه‌های کاربردی به موقع به‌روزرسانی می‌شوند تا آسیب‌پذیری‌های شناخته‌شده برطرف گردند یا خیر.
4. مکانیزم‌های احراز هویت: بررسی قوت رمزهای عبور، استفاده از احراز هویت چندعاملی (MFA) و سیاست‌های قفل حساب کاربری.
5. سیاست‌های حداقل دسترسی (Least Privilege): اطمینان از اینکه کاربران فقط به داده‌ها و منابعی که برای انجام کارشان نیاز دارند، دسترسی دارند و از حقوق مدیریتی غیرضروری برخوردار نیستند.

شبکه وایرلس

شبکه‌های وایرلس اغلب یکی از آسیب‌پذیرترین نقاط ورود به شبکه یک سازمان هستند. یک مهاجم می‌تواند تنها با قرار گرفتن در محدوده سیگنال (مثلاً در پارکینگ یا طبقه پایین ساختمان) سعی کند به شبکه نفوذ کند. این تست موارد زیر را پوشش می‌دهد:

• شبکه‌های Wi-Fi و نقاط دسترسی Access Points
• پروتکل‌های رمزنگاری (مانند WPA2، WPA3)
• دستگاه‌های وایرلس مانند چاپگرها، موس و کیبوردها.
• بلوتوث و سایر اتصالات بی‌سیم.

هدف اصلی، شناسایی نقاط ضعفی است که می‌تواند منجر به دسترسی غیرمجاز یا شنود داده شود، از جمله:

1. رمزهای عبور ضعیف: اجرای حملات دیکشنری (Dictionary Attack) و جستجوی فراگیر (Brute Force) برای شکستن کلیدهای امنیتی شبکه (مانند رمز WPA2).
2. پیکربندی نادرست: بررسی تنظیمات نامناسب در نقاط دسترسی، مانند:
   • استفاده از پروتکل‌های قدیمی و ضعیف (مانندWEP)
   • فعال بودن قابلیت‌های ناامن (مانندWPS)
   • استفاده از تنظیمات پیش‌فرض کارخانه.
3. حملات مرد میانی (MITM): تلاش برای رهگیری و شنود ترافیک داده‌های در حال انتقال از طریق شبکه وایرلس.
4. نفوذ به نقاط دسترسی غیرمجاز (Rogue APs): شناسایی و ارزیابی دستگاه‌هایی که بدون تأیید تیم IT به شبکه متصل شده‌اند.
5. حملات قطع اتصال (Deauthentication Attacks): شبیه‌سازی حمله برای قطع کردن اتصال کاربران قانونی از شبکه وایرلس.

تست نفوذ مهندسی اجتماعی

تست نفوذ مهندسی اجتماعی بر ارزیابی عامل انسانی در یک سازمان تمرکز دارد؛ یعنی بررسی می‌کند که کارکنان یک شرکت تا چه حد در برابر فریب‌کاری‌ها و دستکاری‌های روان‌شناختی که توسط مهاجمان واقعی استفاده می‌شود، آسیب‌پذیر هستند. این تست‌ها معمولاً ترکیبی از سناریوهای مجازی (دیجیتال) و فیزیکی را شبیه‌سازی می‌کنند:

• حملات دیجیتال
  • فیشینگ (Phishing): ارسال ایمیل‌های فریبنده به کارمندان برای وادار کردن آن‌ها به انجام یک عمل خاص، مانند کلیک بر روی یک لینک مخرب، دانلود یک پیوست آلوده، یا وارد کردن نام کاربری و رمز عبور در یک وب‌سایت جعلی.
  • ویشینگ (Vishing): استفاده از تماس تلفنی (Voice Phishing) برای فریب دادن کارمندان و کسب اطلاعات (مثل شماره کارت اعتباری یا جزئیات فنی شبکه) تحت عنوان شخص یا سازمان قابل اعتماد (مانند پشتیبانی IT یا یک تأمین‌کننده).
  • اسمیشینگ (Smishing): استفاده از پیامک (SMS Phishing) برای ارسال پیام‌های اضطراری یا وسوسه‌انگیز برای سرقت اطلاعات.
• حملات فیزیکی
  • نقش بازی کردن (Impersonation): هکر اخلاقی با پوشیدن لباس‌های خاص (مثلاً تعمیرکار، پیک، یا کارمند بخش دیگری) سعی می‌کند بدون کارت شناسایی یا مجوز وارد ساختمان، مناطق ممنوعه یا اتاق‌های سرور شود.
  • دنبال کردن (Tailgating / Piggybacking): وارد شدن به ساختمان بلافاصله پس از یک کارمند مجاز که درب را برای خود باز کرده است، به طوری که فرد فریب‌خورده به دلایل ادب درب را نگه می‌دارد.
  • رها کردن رسانه‌های آلوده (Baiting): رها کردن یک حافظه فلش (USB) حاوی بدافزار در محیط شرکت (مانند پارکینگ یا کافه تریا) با این امید که یک کارمند کنجکاو آن را پیدا کرده و به لپ‌تاپ خود وصل کند.

تست نفوذ فیزیکی

تست نفوذ فیزیکی، شبیه‌سازی تلاش یک مهاجم برای نفوذ غیرمجاز به محیط فیزیکی یک سازمان است، نه شبکه یا سیستم‌های کامپیوتری آن. هدف اصلی این تست، ارزیابی استحکام کنترل‌های امنیتی فیزیکی یک شرکت و همچنین آگاهی و واکنش کارکنان در برابر تهدیدات فیزیکی است. در این نوع تست، هکر اخلاقی (که معمولاً به‌عنوان یک سارق یا کارمند شخص ثالث ظاهر می‌شود) سعی می‌کند از نقاط ضعف زیر سوء استفاده کند:

• امنیت محیطی (Perimeter Security)
  • آزمایش قفل‌ها، درها، و پنجره‌ها.
  • بررسی استحکام حصارها یا دیوارهای مرزی.
  • ارزیابی نحوه عملکرد دوربین‌های مداربسته (CCTV) و سیستم‌های هشدار.
  • تلاش برای عبور از گیت‌های امنیتی ورودی.
• کنترل‌های دسترسی (Access Controls)
  • آزمایش سیستم‌های کارت‌خوان و کارت‌های دسترسی (Card Readers and Badges) برای یافتن روش‌های دور زدن آن‌ها.
  • تلاش برای به دست آوردن کدها یا کلیدهای دسترسی به مناطق حساس.
• مناطق حساس
  • تلاش برای دسترسی به اتاق‌های سرور، قفسه‌های سیم‌کشی (Wiring Closets) یا انبار اسناد محرمانه.
  • تست قفل کابینت‌ها یا کشوهایی که حاوی اطلاعات یا دستگاه‌های حساس هستند.

متدولوژوی تیم در Penetration Test

روش شناسی تیم به رویکرد ساختاریافته و همکاری میان گروه‌های تخصصی مختلف اطلاق می‌شود که برای شبیه‌سازی مؤثر حملات یا تمرین‌های سایبری در دنیای واقعی به کار می‌روند.