پیاده‌ســازی کامــل کنترل‌هــای امنیتــی یکــی از گام‌هــای اصلــی در برقــراری امنیــت در ســازمان اســت. ایــن کار مســتلزم صــرف منابــع بسـیاری اسـت کـه در اغلـب مـوارد در کوتاه مـدت امکان‌پذیـر نیسـت. از طرفـی مدیـران سـازمان تمایـل دارنـد تـا ضمـن آگاهـی از وضعیـت امنیتـی سـازمان خـود در تمـام ابعـاد و نقـاط قـوت و ضعـف سـازمان، از اثربخشـی منابـع تخصیـص یافتـه بـرای پیاده‌سـازی کنترل‌هـای امنیتـی و میـزان تأثیـر آن در ارتقـای سـطح امنیتـی و همچنیـن اولویت‌هـای بعـدی تخصیـص منابـع مطلـع شـوند. در ایــن مطلب، پــس از بیــان ضــرورت و هــدف، رویکــرد و نگــرش فــازی به‌ منظــور ســنجش میــزان و ســطح پیاده‌ســازی کنترل‌هــای امنیتــی بیــان کــرده و پس از بررسی روش های متداول تست نفوذ به ارائه مدل جدیدی بــرای ارزیابی سطح امنیت ســازمان ارائــه می‌کنــد.

قابلیـت به‌کارگیـری در تمامـی سـازمان‌ها صرف نظـر از نـوع، انـدازه و ماهیـت آن، سـازگاری بـا اسـتانداردهای بین‌المللـی متـداول و مرتبـط در ایـن حـوزه، ارائـه‌ی گزارش مدیریتـی امنیتـی بـرای مدیـران ارشـد، قابلیـت به‌کارگیـری به‌عنـوان سیسـتم تصمیم‌یـار مدیـران، ارائـه‌ی وضعیـت شـفاف و دقیـق وضعیـت سـازمان در همـه ابعـاد امنیتـی و تعییـن نقـاط قـوت و ضعـف امنیتـی سـازمان از مشـخصه‌ها و کاربردهـای مـدل پیشـنهادی اسـت.

در بحث ارزیابی آسیب‌پذیری، عملیات تست نفوذ یک گام فراتر از ارزیابی امنیتی قلمداد می‌شود. بسیاری از افراد، متخصصان، شرکت‌ها و سازمان‌هایی که در زمینه امنیت شبکه های سیستم های زیرساخت های حیاتی فعالیت دارند به اشتباه این دو اصطلاح (تست نفوذ و ارزیابی امنیتی) را به جای یکدیگر به کار می‌برند. ارزیابی امنیتی فرآیندی است که در آن تمامی سرویس ها و سیستم‌ها برای مشکلات بالقوه امنیتی بازبینی می‌شوند و این در حالی است که در تست نفوذ عملاً بهره برداری از آسیب پذیری کشف شده صورت می‌گیرد و به شکلی واقعی به سیستم حمله می‌شود تا ثابت شود که سیستم دارای مشکل امنیتی است. در واقع تست نفوذ با شبیه سازی یک حمله واقعی و انجام نفوذ به سیستم، ارزیابی را فراتر از یک بررسی امنیتی خواهد برد.

اما همه چیز در عصر دیجیتالی شدن دست خوش تغییرات بنیادی شده است. با نزدیک شدن فناوری ساخت پردازنده های کلاسیک به ابعاد اتمی، اعتبار قانون مور در سال 2025 به پایان می‌رسد. از سوی دیگر ظهور پردازنده های کوانتومی 1121 کیوبیتی IBM در سال 2023 و دست پیدا کردن به پردازش کوانتومی 4158 کیوبیتی در سال 2025 یک تهدید مستقیم برای الگوریتم‌های رمزنگاری عصر الکترونیکی شدن امور است. مطابق پژوهش‌های رسمی، قدرت پردازشی 1500 کیوبیتی، اعداد اول مورد استفاده در امضاهای دیجیتال رایج را به راحتی فاکتور می‌کند. در اختیار داشتن قدرت پردازش کوانتومی 2593 کیوبیتی برای تدارک یک Collision Attack به الگورتیم هش SHA-2 کفایت می‌کند و تهدید بد تر از آن، این است که قدرت پردازشی 4000 کیوبیتی کنترل شبکه زنجیره بلوک بیت کوین را کمتر از چند ساعت در دست می‌گیرد و این پایان آخرین سد دفاعی باقی مانده از دوران الکترونیکی شدن سیستم‌ها است.

البته بالا رفتن قدرت پردازشی تنها تهدید برای سیستم‌های در آستانه تحول دیجیتال نیست، بلکه هوش مصنوعی با قابلیت چند ریختگی که می‌تواند به بدافزارها بدهد، آنها را از دید IDS ها مخفی کرده و به دلیل کمک‌های فراوانی که به یک برنامه نویس ارائه می‌دهد، موانع نفر/ساعت قابل پیش بینی گذشته را برای یک مجرم سایبری از میان برمی‌دارد و به این ترتیب IBM، در مجموعه اخطارهای امنیت سایبری که برای سال 2024 منتشر کرده است از کاهش زمان تولید بدافزار جدید از 60 روز در سال 2023 به تنها 4 روز در سال 2024 خبر می‌دهد.

ولی همه این پیشرفت ها در فناوری که متاسفانه به خوبی توسط جامعه مجرم های سایبری مورد استفاده قرار گرفته است، به اندازه اینترنت اشیاء و قدرت پردازش توزیع شده ای که ارائه میدهد موجب نگرانی نیست. باید این انتظار را داشته باشیم که از این پس با اینترنت اشیاء هر شی جاندار یا بی جانی به یک مبدا بالقوه برای وقوع حمله سایبری از نوع Active یا Passive تبدیل شود. از قدرت پردازش توزیع شده میتوان به عنوان شناسنامه دنیایی پر از المان های دیجیتالی شده نام برد و آنرا در اولویت برنامه ریزی و طراحی سناریوی دفاعی قرار داد. ما در کشور به لطف استفاده گسترده افراد از انواع فیلترشکن در تلفن های همراه کارمندان در پشت فایروال سازمان‌ها یا تجربیاتی که از حمله سایبری به سیستم پرداخت الکترونیکی جایگاه‌های سوخت داشته ایم، عملا نسخه شبیه‌سازی شده آسیب‌های گسترده ای که توسعه اینترنت اشیاء می‌تواند بر زیر ساخت‌های قدیمی ما وارد کند را مرور کرده‌ایم.

به همین دلیل عقیده داریم طراحی سیستم های امنیتی بر اساس منطق قدیمی سرویس دهی سازمان‌ها که بر پایه رفتار Client-Server توسعه یافته است، دیگر کارایی ندارد و در دوران دیجیتالی شدن و توزیع شدگی، مساله پردازش مجرمانه داده‌ها در هر نقطه ای از خارج یا داخل لایه های امنیتی کلاسیک می‌تواند تبدیل به یک مبدا برای حملات Passive شده و داده های ارزشمند سازمان ها را در دسترس افراد Unauthorized قرار دهد. بنابراین پاسخ ما برای مقابله با نسل جدید تهدیدها در قالب طراحی یک مجموعه تست نفوذ به سبک تهدید های نوظهور است به نحوی که ضمن استفاده از جدید ترین ابزارهای نفوذ به سیستم‌ها، تلاش دارد در بیشتر مواقع وقوع یک حمله را بر اساس به روز ترین مقالات علمی و گزارش ها، جدی و قطعی فرض کرده و سعی دارد بیشتر انرژی تیم امنیتی را روی طراحی راهکار مقابله متمرکز کند. بنابراین مقابله با Advanced Persistence Threat ها با چنان حجم از پیچیدگی و مخفی کاری که پیشتر به بخش هایی از آن اشاره شده است، از طریق نسخه پیشرفته تری از آزمون های نفوذ مقدور خواهد بود که نام تست نفوذ بی‌رحمانه (Brute Persistence Test) را برای آن برگزیده‌ایم. در BPT مفاهیمی همچون DMZ و CMZ از بین می‌روند و هر فرد یا بخش از سازمان در هر لحظه می‌تواند نقش مهاجم به خود گرفته و سازمان را مورد آزمون جدی امنیتی قرار دهد.

تست نفوذ بی‌رحمانه یا تست نفوذ بدون محدودیت نوعی تست نفوذ است که در آن نفوذگر هیچ محدودیتی در مورد روش‌ها یا ابزارهایی که می‌تواند برای حمله به سیستم یا شبکه هدف استفاده کند، ندارد. این نوع تست نفوذ شبیه به حمله سایبری واقعی است و می‌تواند برای ارزیابی مقاومت سیستم یا شبکه در برابر حملات پیچیده و هدفمند استفاده شود.

اهداف تست نفوذ بی‌رحمانه:

• آماده سازی/ ممیزی تصادفی مطابق با ISO-27000
• آماده سازی/ ممیزی تصادفی مطابق با NIST CSF
• آماده سازی/ آنالیز تست های نفوذ کلاسیک دوره ای
• پیاده سازی/ تدارک تست نفوذ بی‌رحمانه پایدار
• شناسایی و ارزیابی آسیب‌پذیری‌های بحرانی که می‌توانند توسط مهاجمان برای به خطر انداختن سیستم یا شبکه مورد سوء استفاده قرار گیرند.
• محک زدن توانایی تیم امنیتی در پاسخگویی به حملات پیچیده و هدفمند.
• ارزیابی اثربخشی اقدامات امنیتی موجود

به بیان دیگر تاب‌آوری سایبری فرض را بر این قرار می‌دهد که اقدامات امنیتی کافی انجام شده است، اما مهاجمان احتمال حضور در شبکه یا سامانه‌های سازمان را دارند. به این منظور تاب‌آوری سایبری بر پایه‌های امنیت سایبری که مبتنی بر حفاظت، تشخیص و پاسخ به حملات است نیز بنا می‌شود. بنابراین امنیت اطلاعات، امنیت سایبری و تداوم عملیات، شالوده‌های تاب‌آوری سایبری هستند.

دلایل انجام تست نفوذ بی رحمانه:

1. شناسایی و ارزیابی دقیق تر آسیب‌پذیری‌ها:

تست نفوذ بی‌رحمانه با شبیه‌سازی یک حمله سایبری واقعی، تمام روش‌های نفوذ، اعم از روش‌های متداول و غیرمتداول را بررسی می‌کند.

این نوع تست، آسیب‌پذیری‌های بحرانی که ممکن است در تست‌های نفوذ سنتی شناسایی نشوند را آشکار می‌کند.

2. محک زدن توانایی تیم امنیتی:

تست نفوذ بی رحمانه توانایی تیم امنیتی در پاسخگویی به حملات پیچیده و هدفمند را به چالش می کشد.

این تست نقاط ضعف و قوت تیم امنیتی را مشخص می‌کند و به آنها کمک می‌کند تا مهارت های خود را ارتقا دهند.

3. ارزیابی اثربخشی اقدامات امنیتی:

تست نفوذ بی رحمانه اثربخشی اقدامات امنیتی موجود را در برابر حملات پیچیده و هدفمند ارزیابی می‌کند.

این تست به سازمان‌ها کمک می‌‍کند تا اقدامات امنیتی خود را بر اساس نتایج تست بهبود بخشند.

4. افزایش سطح امنیت:

انجام تست نفوذ بی‌رحمانه به طور منظم، سطح امنیت سازمان را افزایش می‌دهد.

این تست به سازمان‌ها کمک می‌کند تا قبل از اینکه توسط مهاجمان مورد سوء استفاده قرار گیرند، آسیب‌پذیری‌های خود را شناسایی و رفع کنند.

5. کاهش خطر حملات سایبری:

انجام تست نفوذ بی‌رحمانه خطر حملات سایبری را کاهش می‌دهد.

این تست به سازمان ها کمک می کند تا آمادگی خود را برای مقابله با حملات سایبری افزایش دهند.

6. جلب اعتماد مشتریان و شرکا:

انجام تست نفوذ بی‌رحمانه به جلب اعتماد مشتریان و شرکا کمک می کند.

این تست نشان می‌دهد که سازمان به امنیت اطلاعات آنها اهمیت می‌دهد.

تفاوت تست نفوذ بی‌رحمانه با تست نفوذ سنتی:

• در تست نفوذ سنتی، نفوذگر محدود به استفاده از ابزارها و روش‌های خاصی است که توسط سازمان یا شرکت تعیین شده است.
• در تست نفوذ بیرحمانه، نفوذگر هیچ محدودیتی در مورد روش‌ها یا ابزارهایی که می‌تواند استفاده کند، ندارد.
• تست نفوذ بیرحمانه شبیه به حمله سایبری واقعی است و می‌تواند برای ارزیابی مقاومت سیستم یا شبکه در برابر حملات پیچیده و هدفمند استفاده شود.

مزایای تست نفوذ بی‌رحمانه:

• شناسایی و ارزیابی آسیب‌پذیری‌های بحرانی که ممکن است در تست‌های نفوذ سنتی شناسایی نشوند.
• محک زدن توانایی تیم امنیتی در پاسخگویی به حملات پیچیده و هدفمند.
• ارزیابی اثربخشی اقدامات امنیتی

معایب تست نفوذ بی‌رحمانه:

• می‌تواند به سیستم یا شبکه آسیب برساند اما از انجام آن خودداری میکند.
• می‌تواند باعث از دست رفتن داده‌ها شود اما از انجام آن خودداری میکند.

موارد استفاده از تست نفوذ بی‌رحمانه:

• سازمان‌هایی که با اطلاعات حساس یا محرمانه سروکار دارند.
• سازمان‌هایی که به طور مرتب مورد حملات سایبری قرار می‌گیرند.
• سازمان‌هایی که می‌خواهند مقاومت سیستم یا شبکه خود را در برابر حملات پیچیده و هدفمند ارزیابی کنند.

نکاتی در مورد تست نفوذ بیرحمانه:

• قبل از انجام تست نفوذ بیرحمانه، باید از مدیریت سازمان مجوز بگیرید.
• باید یک برنامه تست دقیق تدوین کنید.
• باید از ابزارها و روش‌های مناسب استفاده کنید.
• باید نتایج تست را به طور کامل مستندسازی کنید.
• باید اقدامات لازم را برای رفع آسیب‌پذیری‌های شناسایی شده انجام دهید.