درخواست های ارتباط
جستجو
لیست دوستان من
صندوق پیام
همه را دیدم
  • در حال دریافت لیست پیام ها
صندوق پیام
رویدادها
همه را دیدم
  • در حال دریافت لیست رویدادها
همه رویدادهای من
تخفیف های وب سایت
همه تخفیف ها

عضویت در

کانال تلگرام

توسینسو

اطلاعات مطلب
مدرس/نویسنده
احسان امجدی
امتیاز: 58514
رتبه:14
1
199
45
620
احسان امجدی ، مشاور امنیت اطلاعات و ارتباطات و تست نفوذ سنجی ، هکر کلاه سفید ، مدرس دوره های تخصصی امنیت اطلاعات و شبکه ، تخصص در حوزه های سرویس های مایکروسافت ، Routing و Switching ، مجازی سازی ، امنیت اطلاعات و تست نفوذ ، کشف جرائم رایانه ای و سیستم عامل لینوکس ، متخصص در حوزه SOC و ... پروفایل کاربر

معرفی تست های نفوذ جعبه سیاه، خاکستری و سفید

تاریخ 47 ماه قبل
نظرات 3
بازدیدها 2035

معرفی تست های نفوذ جعبه سیاه، خاکستری و سفید

سلام به دوستان عزیز ITPro ای و علاقه‌مندان به مباحث امنیت شبکه. در جلسه گذشته راجع به انواع تست نفوذ صحبت کردیم و گفتیم که تست نفوذ را به دو روش تست نفوذ خارجی و تست نفوذ داخلی انجام میدهند. همچنین تست نفوذ داخلی خود شامل مجموعه ای از چندین تست نفود میباشد که در جلسه پیش به آن ها اشاره کردیم و دراین بخش و بخش بعد، میخواهیم ضمن مرور آن ها، توضیحی درباره آن ها بدهیم. با ما همراه باشید:
در قسمت پیش گفتیم که تست داخلی بواسطه چندین اکسس پوینت تحت شبکه انجام خواهد شد و شامل مجموعه تست های داخلی زیر میباشد:
• تست جعبه سیاه بدون هیچگونه دانشی از مقصد
• تست جعبه خاکستری و با اطلاعات متوسط از هدف
• تست جعبه سفید با دانش کامل از مقصد
• تست با آگاهی قبلی
• تست بدون آگاهی قبلی

تست نفوذ جعبه سیاه (Black-box Penetration Testing)


معرفی تست های نفوذ جعبه سیاه، خاکستری و سفید

در این نوع تست، انجام دهنده کار، تست را بدون داشتن هرگونه دانش قبلی در رابطه با هدف انجام میدهد. به منظور شبیه سازی حملات واقعی و کاهش نقاط آسیب پذیر، انجام دهنده تست نفوذ، روش تست جعبه سیاه ( یا حمله بدون هیچگونه آگاهی از هدف) را انتخاب میکند و نفشه شبکه را پس از اطلاع از سرویس ها، فایل های سیستمی شیر شده و سیستم های عامل، ترسیم میکند. علاوه بر این مجری تست، میتواند با استفاده از تکنیک war dialing، مودم های شنود کننده و با استفاده از روش war driving، اکسس پوینت های آسیب پذیر را شناسایی کند. در زیر بطور تیتروار تست نفوذ جعبه سیاه را مجددا تشریح میکنیم:
• نیازی به دانش قبلی از زیرساختی که باید تست شود، ندارد.
• تست نفوذ باید پس از جمع آوری اطلاعات و جستجوهای لازم انجام پذیرد.
• در این تست زمان زیادی صرف ترسیم زیرساخت شبکه و نحوه ارتباط و دخل و تصرف در آن صرف میشود.
• در این تست تنها چیزی که شما میدانید، نام شرکت است.
• این تست، حمله واقعی را شبیه سازی میکند.
• این تست بسیار زمانبر و از سنگین است.

تست نفوذ جعبه خاکستری (Gray-box Penetration Testing)


معرفی تست های نفوذ جعبه سیاه، خاکستری و سفید

در این نوع تست، کار با اطلاعات محدودی در رابطه با زیرساخت، مکانیسم دفاعی و کانال های ارتباطی هدفی که تست بر روی آن انجام میشود، صورت میپذیرد. این تست شبیه سازی آندسته از حملاتی است که از درون و یا برون شرکت با میزان دسترسی محدود صورت میپذیرد.
در این حالت سازمان ها ترجیح میدهند که بخشی از اطلاعات یا دانشی که هکرها میتوانند به آن دست پیدا کنند ( مانند نام دومین) را در اختیار انجام دهنده تست قرار دهند. این موضوع میتواند باعث صرفه جویی در زمان و هزینه های سازمان شود. در تست جعبه خاکستری، نفوذگر میتواند به عنوان مدیر سیستم و یا شبکه کار خود را انجام دهد.

تست جعبه سفید (White-box Penetration Testing)


معرفی تست های نفوذ جعبه سیاه، خاکستری و سفید

در تست جعبه سفید، کار با داشتن اطلاعات کامل از زیرساخت، مکانیسم دفاعی و کانال های ارتباطی هدف مورد تست انجام میشود. این تست شبیه سازی هکری است که از داخل شبکه، دسترسی کامل و اختیارات نامحدودی را روی سیستم هدف دارد.
این نوع تست زمانی انجام میشود که شرکت نیاز دارد تا امادگی دفاعی شبکه را در برابر نوع خاصی از حملات و یا اهداف خاص محک بزند. در این حالت اطلاعات کامل درباره هدف به انجام دهنده تست نفوذ داده خواهد شد. پس از انجام تست اطلاعاتی که میتواند نفوذگر به ان ها دست یابد، شامل مستند سازی های توپولوژی شبکه، فهرست موجودی ها و اطلاعات با ارزش خواهد بود. نوعا یک شرکت زمانی این تست را انجام خواهد داد که بخواهد بازرسی و سرکشی کاملی از امنیت خود داشته باشد.
در قسمت بعد با دونوع دیگر از این دسته تست ها اشنا خواهیم شد.

سربلند و مانا باشید.
پایان

نویسنده: احسان امجدی
منبع: انجمن تخصصی فناوری اطلاعات ایران
هرگونه نشر و کپی برداری بدون ذکر منبع و نام نویسنده دارای اشکال اخلاقی می باشد.
برچسب ها
ردیف عنوان
1 مفاهیم تست نفوذ (Penetration Testing Concepts)
2 طبقه‌بندی مراحل انجام تست نفوذ
3 انواع تست نفوذ
4 معرفی تست های نفوذ جعبه سیاه، خاکستری و سفید
5 تست نفوذ خودکار چیست؟
دوره مجموعه کل دوره
مطالب مرتبط

در حال دریافت اطلاعات

نظرات
  • مرسی از این مقاله

    الان من یه سوال دارم ، اینکه مثلا" یه نهادی از هکر ها بخواد که برای کشف حفره های امنیتی بیان اون سایت رو هک کنن و یا اون مسابقاتی که میذارن ، نفوذش میشه همین جعبه سیاهی؟
  • صادق عزیز این مثالی که شما زدی در هر سه حالت امکان پذیر هستش و بسته به نوع قراردادی که شرکت با اون نفوذگران میبنده، میتونه یکی از سه حالت و یا چند تا از اون ها با هم باشه. مثلا اگه شرکت مورد نظر مکانی امنیتی و حساس باشه، معمولا هر سه نوع تست رو قراداد می بندند. البته این رو هم بگم که در تست جعبه سیاه هدفی که قراره نفوذگر تست کنه از لحاظ عمق و شدت با تست جعبه سفید فرق میکنه و شدت نفوذ اون کمتره.
    بیشترین شدت نفوذ در تست جعبه سفید اتفاق میوفته و شرکت بوسیله اون میخواد بقول معروف اون درزهای امنیتیش هم پر کنه. :)
  • البته این رو هم بگم که اگه هر سه نوع تست قرارداد بسته بشه، بترتیب از تست جعبه سیاه، خاکستری و سفید انجام میشه.

برای ارسال نظر ابتدا به سایت وارد شوید