چگونه مانند یک نفوذگر فکر کنیم و همچون یک کارشناس امنیت رفتار کنیم

یکی از شرایط تحویل فرزند به پدر و مادر برای فرزندخواندگی تأمین امنیت خانه در برابر تهدیدات کودکان است. بیشتر کارشناسان در این مورد توصیه می‌کنند که والدین در حالی‌که روی دست و پای خود راه می‌روند اطراف خانه به گشت و گذار بپردازند تا تجربه‌ی مشاهده‌ی محیط از زاویه دید یک بچه را داشته باشند. ممکن است این تنها برای دیدن تهدیداتی باشد که از دید بزرگ‌سالان مخفی مانده است.
همین موضوع برای ایجاد امنیت یک نرم‌افزار نیز صادق است. به روشنی فهرستی از آسیب‌پذیری‌ها و دستورالعمل‌های مبارزه با آن‌ها در اشکال مختلف وجود دارد که باید در نظر گرفت. اما برای این‌که شما واقعاً بتوانید امنیت نرم‌افزار را تأمین کنید نیاز دارید تا از زاویه دید یک نفوذگر به نرم‌افزار نگاه کنید. شما نیاز دارید تا به شکل یک نفوذگر به قضیه فکر کنید، اما شبیه به یک متخصص امنیتی رفتار کنید.
شبیه به یک نفوذگر فکر کردن، تنها مربوط به جنبه‌های فنی نفوذ کردن نیست. بلکه چیزهای دیگری نیز در این میانه وجود دارند:‌
انگیزه‌ی یک نفوذگر چیست؟ آن‌ها به امید به دست آوردن چه چیزی حمله می‌کنند؟
آیا نفوذگرها برای هدف مشخصی با نیت قبلی به شما حمله می‌کنند و یا این‌که نقاط آسیب‌پذیری مشخصی وجود دارد که به آن‌ها فرصت حمله می‌دهد.
آن‌ها چگونه حمله می‌کنند؟
چه موقع حمله می‌کنند؟
برای مثال اگر شما هدف راحتی باشید، نفوذگرها سعی می‌کنند که به سریع‌ترین شکل شما را مورد نفوذ قرار دهند. این مطلب به آن دلیل است که محافظت در برابر آن آشکار است، این مورد جهت حمله‌های مشهور مهم هستند. با وجودی که تعداد زیادی از تهدیدات مداوم و پیشرفته‌ی محرمانه‌ی APT وجود دارد، نفوذگرها علاقه‌ای به سرمایه‌گذاری زمان و نیرو برای ساخت یک APT ندارند، اگر بتوانند با حملات ساده همچون تزریق SQL حمله‌ی خود را سامان‌دهی کنند.

بنابراین شما چه کاری برای حفاظت از سازمان خود می‌توانید انجام دهید؟
۱- پیشی جستن از خرس: حکایتی قدیمی نقل می‌شود درباره‌ی سبقت گرفتن از خرس. دو کوهنورد در راه خود به یک خرس برخورد می‌کنند. یکی از کوهنوردان سریع کفش‌های ورزشی خود را به پا می‌کند و شروع به فرار می‌کند زیرا او می‌داند که اگر بتواند از همکار کوهنورد خود سبقت بگیرد دیگر نیازی به سبقت گرفتن از خرس نخواهد داشت. اگر نقاط آسیب‌پذیری اصلاح شده باشند، نفوذگرها به سمت سازمان‌هایی دیگر حمله می‌کنند که به خوبی شما آماده نشده باشند. بنابراین در این مسیر شما نیاز ندارید که با خرس مسابقه بگذارید و نفوذگرها ترجیح می‌دهند که اهداف آسان‌تری را مورد حمله قرار دهند.
۲. رشته را بکشید: بسیاری از نفوذهای کلاسیک توسط نفوذگرهایی صورت می‌گیرد که یک نقص به ظاهر بی‌خطر را در سامانه‌ی دفاعی پیدا می‌کنند و شروع به گشت و گذار در سامانه‌ می‌نمایند. هر رشته از این خطرها به رشته‌ای دیگر متصل است تا این‌که بالاخره اعتبارنامه‌ها قابل دسترسی می‌شوند و اطلاعات افشا خواهند شد. برای جلوگیری از چنین حادثه‌ای هر کدام از این رشته‌ها را که پیدا می‌کند بکشید و مطمئن شوید که همه‌ی کارها را تا پایان انجام داده‌اید.
فکر کنید که یک شرکت امنیتی به بررسی خانه برای نقطه‌ی ورود آن می‌‌گردد. هر نقطه‌ی ورودی ممکن است آسیب‌پذیر باشد، اما اگر این نقطه‌ی ورود به یک بن‌بست منتهی شود باز هم شما در امان هستید. اما اگر این نقطه‌ی ورودی شما را مستقیماً به سراغ نقاط آسیب‌پذیر دیگر یا نقاط ورودی دیگر بکشاند، شما به راحتی در خطر قرار می‌گیرید.
۳. از نقاط قوت خود فهرست تهیه کنید: این‌که بدانید چه قسمت‌هایی از سامانه‌ی شما آسیب‌پذیر است سودمند خواهد بود اما این اطلاعات زمانی مفیدتر خواهد بود که شما برآوردی از آنچه می‌تواند سرقت شود و نقاط ورودی به سامانه‌ی خود انجام دهید. بسیار مهم است که تفکری تجاری‌محور داشته باشید تا درک کنید که دیگران چه انگیزه‌ای برای حمله به سامانه‌ی شما می‌توانند داشته باشند. دانستن این موضوع می‌تواند به شما از داخل در مورد حملات احتمالی از بیرون کمک کند؛ بنابراین شما از داخل به حملات احتمالی به نقاط ورودی از خارج فکر کنید. عمل‌کرد دفاعی با تمرکز از زاویه دید خارج به داخل معمولاً اجباری هستند.
از روش‌سازی هر تهدید برای فهم بهتر مسیر حملات، ارزش دفع هر حمله و مزایای هر کدام از مسیرها استفاده کنید. شروع کنید به بستن راه‌های حملاتی که تلاش‌های اندک را می‌طلبند و مقاومت کمی در برابر آن‌ها وجود دارد. شما بودجه و زمان کافی برای انجام همه‌ی آنها ندارید، بنابراین از منابع انسانی موجود برای این کار نهایت استفاده را انجام دهید.
نفوذگرها طبیعتاً خلاق هستند، بنابراین شما باید تخیل خود را به کار گیرید تا مثل یکی از آن‌ها فکر کنید. برای مثال نفوذگرها همیشه به دنبال حمله از روش‌هایی هستند که معمولاً تصور نمی‌شود از آنها استفاده می‌کنند. بافت کلی منطقی است اگر توسعه‌دهنده راه را بررسی نکند هرگز نخواهد توانست محافظت‌های لازم را انجام دهد. به این شکل تفکر کردن نیاز به تمرین دارد. این کار به ویژه برای توسعه‌دهندگان سخت است، زیرا که آن‌ها همیشه می‌دانند که از چه چیزهایی استفاده کرده‌اند و استفاده از سایر چیزها برای آن‌ها مشکل است.

نتیجه‌گیری
یک متخصص امنیت حرفه ای متوجه این مطلب است که دفاع مؤثر در گرو درک حملاتی است که به وی می‌شود. شبیه به یک نفوذگر فکر کردن و داشتن بینش کلیدی برای یک سازمان ضروری است. این بینش برای بستن مسیرهای آسیب‌پذیری و حملات نفوذگرها اجباری است. از این دانش به عنوان مزیتی به کار بگیرید و خود را در زاویه‌ی دید مهاجمان قرار دهید. هر گاه موفق شوید که سازمان خود را در زاویه‌ی دید یک نفوذگر نگاه کنید، می‌توانید همچون یک متخصص امنیت حرفه‌ای خود را مجهز کرده که و از سازمان خود دفاع کنید.

منبع: asis

درباره نماد امنیت وب

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.