آخرین کنترل از سری ۲۰ کنترل امنیتی درباره تست نفوذ و Red Team است. این کنترل قرار نیست جای کنترلهای قبلی را بگیرد؛ قرار است نشان دهد کنترلهای قبلی در عمل چقدر جواب میدهند. روی کاغذ ممکن است همه چیز مرتب باشد، ولی تست خوب معلوم میکند مسیر واقعی حمله کجاست.
مبنای این مطلب: SANS Critical Security Control 20: Penetration Tests and Red Team Exercises، یعنی «تست نفوذ و تمرین Red Team» در فهرست ۲۰ کنترل امنیتی SANS/CIS. متن زیر ترجمه خشک کنترل نیست؛ برداشت عملی از همان کنترل برای شبکه و زیرساخت سازمانی است.
قبلا در مطلب تفاوت Penetration Test و Red Team درباره این موضوع نوشته بودم. اینجا نگاه را به عنوان کنترل امنیتی جمعبندی میکنم.
اسکن آسیبپذیری لازم است، ولی تست نفوذ نیست. اسکن میگوید چه چیزی ممکن است آسیبپذیر باشد. تست نفوذ بررسی میکند آیا میشود از آن ضعف در شرایط واقعی سوءاستفاده کرد یا نه، و اثرش تا کجا میرسد.
اگر خروجی فقط لیست CVE باشد، هنوز کار کامل نیست. باید مسیر حمله، ریسک واقعی، شواهد، اولویت اصلاح و پیشنهاد قابل اجرا مشخص شود.
Red Team معمولا محدود به یک آسیبپذیری نیست. هدف این است که ببینیم مهاجم با ترکیب ضعفها تا کجا میتواند پیش برود و تیم دفاعی چقدر متوجه میشود. ممکن است مسیر از فیشینگ شروع شود، به یک اکانت ضعیف برسد، بعد حرکت جانبی و دسترسی به داده حساس.
این نوع ارزیابی بدون آمادگی سازمانی ممکن است فقط استرس ایجاد کند. باید هدف، محدوده، قواعد، زمان و افراد مطلع کاملا مشخص باشند.
یکی از مهمترین بخشها scope است. کدام IP، کدام دامنه، کدام اپلیکیشن، چه ساعتی، با چه سطح دسترسی و با چه محدودیتی؟ اگر محدوده دقیق نباشد، یا تست بیاثر میشود یا ریسک اختلال بالا میرود.
گزارش خوب فقط شدت بالا و پایین نمینویسد. باید بگوید مشکل دقیقا کجاست، چطور اثبات شده، اثرش چیست، چه اصلاحی پیشنهاد میشود و بعد از اصلاح چطور باید دوباره تست شود. اگر تیم فنی بعد از خواندن گزارش نداند از کجا شروع کند، گزارش کاربردی نیست.
تست نفوذ بدون پیگیری اصلاح، بیشتر شبیه عکس گرفتن از مشکل است. ارزش واقعی وقتی ایجاد میشود که یافتهها وارد برنامه اصلاح شوند، مالک داشته باشند، زمانبندی شوند و بعد از اصلاح دوباره بررسی شوند.
کنترل ۲۰ یعنی کنترلهای امنیتی را فقط باور نکنیم؛ آزمایش کنیم. تست نفوذ و Red Team اگر درست طراحی شوند، نقاط کور را نشان میدهند و کمک میکنند بودجه و زمان روی ریسکهای واقعی خرج شود.
روز حادثه وقت تصمیمگیری از صفر نیست. باید از قبل بدانیم چه کسی چه کاری…
وقتی برنامه وب آسیبپذیر باشد، شبکه سالم و فایروال مرتب هم همیشه نمیتواند جلوی سوءاستفاده…
آموزش امنیتی وقتی مفید است که به کار روزانه وصل باشد؛ نه یک فایل طولانی…
اکانت رها شده، رمز قدیمی و دسترسی باقیمانده از شغل قبلی، از مسیرهای ساده ولی…
شبکه بیسیم اگر درست کنترل نشود، عملا یک کابل شبکه است که تا بیرون ساختمان…
در کنترل ۱۴ اصل ساده است: هرکس فقط همان چیزی را ببیند که برای کارش…