نینجا یا دزد دریایی؟! (Penetration Test vs. Red Team Assessment)

 

بزارید قبل از اینکه جلوتر بریم یک سوال از شما بپرسم:

تو جنگ بین نینجا و دزد دریایی کدوم یک برنده هستند؟! نینجا یا دزد دریایی! انتخاب شما کدومه؟ برای اینکه انتخاب کنیم اول باید ببینیم اینها چه ویژگی و نقطه ضعفی دارند تا انتخاب ما هوشمندانه بشه، برای همین اول نقاط ضعف و قوت این ها رو بررسی کنیم

 

دزد دریایی:

نقاط قوت: قدرت،  بی رحم درحمله، قدرتمند در گرفتن غنیمت، اسلحه های دور برد

نقاط ضعف: پر سرو صدا ،  همیشه مست!، بی احتیاط

 

نینجا:

نقاط قوت: سرعت، بی سر و صدا ، همیشه در حال تمرین، استفاده از شمشیر

نقاط ضعف: بدون زره و دفاع، کوچک جثه بودن!

خوب حالا احتمالا انتخاب بهتری میتونید داشته باشید، نینجا یا دزد دریایی؟

همه این ها رو گفتم که به این مطلب برسیم که فرق بین Penetration Test و Vulnerability Assessment و Red Team Assessment چی هست، خیلی از افراد حتی متخصصین حوزه امنیت شبکه این ها رو یکی میدونن و در واقع به همه این ها میگن Penetration Test!، و این برداشت اشتباه هست.

Vulnerability Assessment:

Vulnerability Assessment در واقع پیدا کردن آسیب پذیری (نه Zero-day) درون شبکه و سازمان هست. آسیب پذیری های شناخته شده و وصله نشده و نهایتا گزارش این آسیب پذیری ها برای رفع و وصله شدن آنها.

Penetration Test:

مثل Vulnerability Assessment هدف این کار هم پیدا کردن آسیب پذیی درون سازمان هست، اما یکم فراتر در واقع در Penetration Test نه تنها آسیب پذیری ها رو پیدا میکنیم بلکه سعی در بهره برداری (exploit) این آسیب پذیری ها هم خواهیم کرد. و البته که پنتست کار با بهره برداری از یک آسیب پذیری بی کار نمیشینه و سعی میکنه هر چی پیدا میکنه بزنه

فکر کنیم بدونیم ب چی مقایسه اش کنیم احتمالا دزد دریایی!

 

Red Team Assessment:

این هم مثل Penetration Test هست با یه تفاوت بزرگ، بی سر و صدا هست! در واقع هدف از Red Team Assessment هم پیدا کردن آسیب پذیری و بهره برداری از اون و رسیدن به اطلاعات حساس سازمان هست. اما اینها نمیان هرچی پیدا میکنن بزنن! اینها مثل نینجا هستند، بی سر و صدا و خیلی محتاتانه و با تمام تمرکز برای عدم شناسایی پیش میرن و از هر ابزاری استفاده میکنند تا سازمان رو بزنند. برخلاف Penetration Test که تمام سعی شون پیدا کردن هرچی آسیب پذیری هست که دم دستشون میاد.

در واقع Red Team Assessment بدرد سازمانی میخوره که از لحاظ امنیتی به درجه بلوغ رسیده و Vulnerability Assessment و Penetration Test دوره ای داره و حالا میخواد ببینه اگر کسی حمله ای به سازمانش کرد تو فاز شناسایی و جلوگیری چی کاره هست! و البته که اینجا یه چیز دیگه هم وارد میشه به اسم Blue Team که مکمل Read Team هست اما هدفش برعکسه و میخواد در حداقل زمان شناسایی و جلوگیری روانجام بده و حتی رفع مشکل در صورتی که همون حمله رو به صورت واقعی بخورن! در واقع میاد مستند سازی انجام میده که Read Team چه جوری موفق شده، ما چه جوری میتونستیم جلوش رو بگیریم و اگر فلان حمله رو خوردیم چه جوری Reaction plan رو انجام بدیم.

 

حالا برگردیم به سوال اول بالاخره نینجا یا دزد دریایی؟برای انتخاب اول باید این سوال رو از خودمون می پرسیدیم، برای چه کاری؟! مثلا اگر قرار هست شبیه خون بزنیم مطمئنا انتخاب دزد دریایی مناسب نیست. اما اگر قرار بود جلوی نیروی دریایی در بیایم خوب مطمئنا نینجا انتخاب درستی نبود.