تست نفوذ و گزارش نویسی (قسمت چهارم)

بهره‌برداری (exploitation) در تست نفوذ

در تست نفوذ بهره‌برداری‌ها را در مقابل آسیب‌پذیری‌هایی که (گاهی با استفاده از یک ابزار مانند Metasploit ) کشف کرده‌ایم، در تلاش برای دسترسی به سیستم‌های مشتری اجرا می‌کنیم. همانطور که می‌بینید، بعضی از آسیب‌پذیری‌ها در تست نفوذ، مانند ورود به سیستم با گذرواژه‌های پیش فرض، به راحتی قابل استفاده هستند.

تست نفوذ

مرحله پس از بهره برداری (post-exploitation) در تست نفوذ

تست نفوذ در مرحله پسا بهره‌برداری، درست بعد از بهره‌برداری آغاز می‌شوند. شما وارد سیستم شده اید، اما آیا این نفوذ واقعا برای مشتری مهم است؟ اگر یک سیستم موروثی بدون وصله را بشکنید که بخشی از یک دامنه نیست یا به نحوی دیگر به اهداف با ارزش بالا متصل شده است و این سیستم حاوی هیچ اطلاعاتی برای جذب مهاجم نیست،در تست نفوذ خطر این آسیب‌پذیری به مراتب کمتر از آن است که بتوانید از آن به عنوان یک کنترل کننده دامنه یا یک سیستم توسعه مشتری استفاده کنید. 

پس از بهره‌برداری در تست نفوذ، اطلاعاتی در مورد سیستم تحت حمله جمع‌آوری می‌کنیم، فایل‌های مهم را جستجو می‌کنیم، تلاش می‌کنیم امتیازات را در صورت لزوم افزایش دهیم و غیره. برای مثال، ممکن است هش‌های رمزنگاری را برای دیدن اینکه آیا می‌توانیم آنها را معکوس کنیم یا از آنها برای دسترسی به سیستم‌های اضافی استفاده کنیم، رها کنیم. همچنین ممکن است سعی کنیم از دستگاه بهره‌برداری شده برای حمله به سیستم‌هایی که قبلا به آنها دسترسی نداشتیم، استفاده کنیم.

گزارش نویسی در تست نفوذ

مرحله نهایی تست نفوذ، ارائه گزارش است. این جایی است که یافته‌های خود را به مشتری به شیوه‌ای قابل درک انتقال می‌دهیم. در تست نفوذ به آنها می‌گوییم که آنها به درستی کار می‌کنند، جایی که آنها باید وضعیت امنیتی خود را بهبود ببخشند، چطور وارد شوید، آنچه پیدا کردید، چگونه مشکلات را حل کنید و غیره.

گزارش نویسی در تست نفوذ

نوشتن یک گزارش خوب تست نفوذ، یک هنر است که نیازمند تمرین برای کسب مهارت است. شما باید یافته‌های خود را به وضوح به همه، از کارمندان IT متعهد برای رفع آسیب‌پذیری‌ها تا مدیران بالارتبه انتقال دهید که در مورد تغییرات با ممیزی‌های خارجی اظهار نظر کنند. به عنوان مثال، اگر یک شخص غیرفنی عبارت زیر را بخواند "من از MSOS-067 برای گرفتن یک shell استفاده کردم"، ممکن است تصور کند منظور شما از shell یک خرچنگ است! (در حالیکه منظور، گرفتن یک امکان ارتباطی برای نفوذ به سیستم می باشد). گزارش تست نفوذ باید شامل خلاصه اجرایی و گزارش فنی باشد، همانطور که در بخش‌های زیر بحث شده است.