اختبار الاختراق، المعروف أيضًا باسم اختبار القلم، هو أداة قيمة يمكن لمؤسستك استخدامها للعثور على نقاط ضعف تكنولوجيا المعلومات وتأمين شبكتها. ومع ذلك، قد يكون من الصعب تحديد تقنيات ومعايير اختبار القلم التي يجب تطبيقها في مؤسستك. فيما يلي، نعرض خمسًا من أفضل الطرق التي يمكنك تطبيقها لزيادة عائد الاستثمار في اختبار القلم.
منهجية ومعايير اختبار الاختراق الشائعة
1. OSSTMM
دليل منهجية اختبار الأمان مفتوح المصدر (OSSTMM) هو منهجية اختبار اختراق تمت مراجعتها من قبل النظراء (معهد الأمن والمنهجيات المفتوحة، 2010). وهو يوفر إطارًا علميًا لاختبار اختراق الشبكة وتقييم الثغرات الأمنية ويقدم دليلاً شاملاً يمكن استخدامه بشكل صحيح من قبل مختبري الاختراق المعتمدين. يغطي دليل منهجية اختبار الأمان مفتوح المصدر خمس فئات (رونسافال، 2017):
- ضوابط البيانات والمعلومات
- الوعي بالأمن السيبراني بين الموظفين
- ضوابط الاحتيال والهندسة الاجتماعية
- عناصر التحكم للأجهزة المتصلة بالشبكة، بما في ذلك أجهزة الكمبيوتر والأجهزة اللاسلكية
- ضوابط الأمن المادي
تتمثل إحدى الفوائد الرئيسية لـ OSSTMM في مستوى مرونتها العالي. إذا قام مختبرو القلم بتطبيق OSSTMM بشكل صحيح، فيمكنهم استخدامه لحل الثغرات الأمنية الموجودة على أجهزة متعددة، بما في ذلك أجهزة الكمبيوتر والخوادم والأجهزة اللاسلكية والمزيد.
2. أواسب
تحافظ مؤسسة مشروع أمان تطبيقات الويب المفتوحة (OWASP) (2020، 2021، 2022) على منهجيات اختبار القلم والأدلة الشاملة لاختبار أجهزة الويب والأجهزة المحمولة والبرامج الثابتة. عند تنفيذها بشكل صحيح، يمكن لمنهجيات OWASP مساعدة مختبري القلم في تحديد سلسلة من الثغرات الأمنية في البرامج الثابتة للشبكة والتطبيقات المحمولة أو تطبيقات الويب.
3. المعهد الوطني للمعايير والتكنولوجيا
المعهد الوطني للمعايير والتكنولوجيا (NIST؛ 2022) هو وكالة تابعة لوزارة التجارة الأمريكية. لا يتلخص هدف المعهد الوطني للمعايير والتكنولوجيا فيما يتعلق بمعايير أمن المعلومات في إنشاء منهجية محددة، بل إنشاء سلسلة من معايير اختبار القلم (Scarfone et al., 2008). وفي حين أن الحكومة الفيدرالية ملزمة بتلبية معايير المعهد الوطني للمعايير والتكنولوجيا، فإن الشبكات الأخرى غالبًا ما تلتزم بها أيضًا.
يجب اعتبار معايير NIST الحد الأدنى المطلق، وليس المعايير الوحيدة التي يجب على أي شركة أو منظمة أخرى الالتزام بها. يجب أن يكون أي مُختبر اختراق معتمد على دراية بمنهجيات اختبار اختراق الشبكات والتطبيقات التي أنشأها NIST.
4. اختبار PTES
إطار عمل معيار تنفيذ اختبار الاختراق (PTES؛ 2014) عبارة عن منهجية اختبار الاختراق التي تشتمل على سبعة أقسام:
- التفاعلات قبل المشاركة
- جمع المعلومات الاستخبارية
- نمذجة التهديد
- تحليل نقاط الضعف
- استغلال
- ما بعد الاستغلال
- التقارير
يوفر PTES (2012) أيضًا دليلاً فنيًا شاملاً يمكّن مختبري القلم من تنفيذ المنهجية.
5. إيساف
إطار عمل تقييم أمان أنظمة المعلومات (ISSAF) هو نهج متخصص لاختبار الاختراق (مجموعة أمان أنظمة المعلومات المفتوحة، 2006). يوضح دليله الشامل - الذي يبلغ عدد صفحاته أكثر من 1200 صفحة - الإطار وراء منهجية الاختبار هذه. إن النهج المفهوم لـ ISSAF سهل التخصيص بالنسبة للمؤسسات الفردية ومختبري الاختراق، مما يسمح بإنشاء خطط اختبار مخصصة. يجب على أي مختبر اختراق يستخدم أدوات متعددة الالتزام بمنهجية ISSAF.
من المهم أن نلاحظ أن ISSAF يتجاوز مجرد اختبار القلم: فهو يشمل أيضًا إنشاء أدوات يمكن استخدامها لتثقيف الأفراد الآخرين الذين لديهم إمكانية الوصول إلى شبكة ما. كما يضمن التزام الأفراد الذين يستخدمون شبكة معينة بالمعايير القانونية المناسبة.
هل تريد أن تتعلم المزيد؟
ستستمر التهديدات السيبرانية التي تتعرض لها مؤسستك في التطور والتسارع، ولكن اختبار الاختراق القوي يمكنه دعم أمان شبكتك. يضمن تطبيق منهجية اختبار الاختراق المجربة والموثوقة حصولك على أفضل عائد استثمار ممكن من اختبار الاختراق على شبكتك.
إن توظيف خبير اختبار اختراق معتمد يمكن أن يعود بفوائد كبيرة على مؤسستك. إن محترفي اختبار الاختراق المعتمدين يدركون أحدث التهديدات التي تواجه الشبكة ويعرفون كيفية إجراء اختبار الاختراق باستخدام منهجيات مختلفة. يقدم برنامج شهادة محلل الأمان المعتمد (E|CSA) من EC-Council معلومات قيمة حول اختبار الاختراق. إنه أحد سلسلة شهادات اختبار الاختراق التي تقدمها EC-Council. تشمل الخيارات الأخرى شهادة خبير اختبار الاختراق المعتمد (C|PENT) وأخصائي اختبار الاختراق المرخص لدينا (L|PT) الدورات.
قم بالتسجيل في دورة E|CSA اليوم للتأكد من قدرتك على إدارة وتخفيف أي تهديدات لشبكتك.
مراجع
معهد الأمن والمنهجيات المفتوحة. (2010). OSSTMM 3: دليل منهجية اختبار أمان المصدر المفتوح. https://www.isecom.org/OSSTMM.3.pdf
المعهد الوطني للمعايير والتكنولوجيا. (2022، 11 يناير). نبذة عن المعهد الوطني للمعايير والتكنولوجيا. https://www.nist.gov/about-nist
مجموعة أمن أنظمة المعلومات المفتوحة. (2006). إطار عمل تقييم أمن أنظمة المعلومات (ISSAF). https://untrustednetwork.net/files/issaf0.2.1.pdf
مؤسسة OWASP. (2020). دليل اختبار أمان الويب OWASP. https://owasp.org/www-project-web-security-testing-guide/
مؤسسة OWASP. (2021). منهجية اختبار أمان البرامج الثابتة لـ OWASP https://scriptingxss.gitbook.io/firmware-security-testing-methodology
مؤسسة OWASP. (2022). دليل اختبار أمان الأجهزة المحمولة من OWASP. https://owasp.org/www-project-mobile-security-testing-guide/
معيار تنفيذ اختبار الاختراق (2012). إرشادات تقنية لاختبار الاختراق. http://www.pentest-standard.org/index.php/PTES_Technical_Guidelines
معيار تنفيذ اختبار الاختراق. (2014). تنظيم رفيع المستوى للمعيار. http://www.pentest-standard.org/index.php/Main_Page
Rounsavall, R. (2017). أجهزة أمان شبكات منطقة التخزين. في JR Vacca (المحرر)، دليل أمان الكمبيوتر والمعلومات (الطبعة الثالثة)، ص 879-894. Elsevier. https://doi.org/10.1016/B978-0-12-803843-7.00062-4
Scarfone, K., Souppaya, M., Cody, A., & Orebaugh, A. (2008). الدليل الفني لاختبار وتقييم أمن المعلومات: توصيات المعهد الوطني للمعايير والتكنولوجيا (الإصدار الخاص للمعهد الوطني للمعايير والتكنولوجيا 800-115). المعهد الوطني للمعايير والتكنولوجيا، وزارة التجارة الأمريكية. https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
هل أنت مستعد للانتقال بمسيرتك المهنية في مجال الأمن السيبراني إلى المستوى التالي؟ لا تبحث أبعد من شهادات CPENT وLPT، وهي الشهادات الأكثر قيمة في عالم اختبار الاختراق اليوم. تعد هذه الشهادات من بين شهادات الأمن الأعلى أجراً على مستوى العالم، ويمكنها أن تفتح لك أبواب فرص عمل مربحة في صناعة الأمن السيبراني.
أطلق العنان لإمكانياتك مع شهادات CPENT وLPT!
مع مجموعة CPENT iLearn بسعر 969 دولارًا فقط، يمكنك الحصول على شهادتين دوليتين مرموقتين في نفس الوقت: CPENT وLPT من EC-Council. تتضمن هذه المجموعة الشاملة كل ما تحتاجه للتحضير لامتحان CPENT واجتيازه، بما في ذلك قسيمة امتحان CPENT ، والتي تتيح لك إجراء الامتحان عبر الإنترنت من خلال RPS في أي وقت يناسبك خلال 12 شهرًا.
توفر دورة الفيديو التعليمية ذاتية التوجيه عبر الإنترنت CPENT ، المتاحة على منصة iClass التابعة لـ EC-Council، إرشادات عملية وعملية لجعل استعدادك للاختبار سلسًا. مع إمكانية الوصول لمدة عام واحد، ستتلقى تعليمات من خبراء وإرشادات خطوة بخطوة، مما يضمن لك الاستعداد الجيد للنجاح في الاختبار.
ولكن هذا ليس كل شيء - تتضمن مجموعة CPENT iLearn أيضًا:
- البرامج التعليمية الإلكترونية
- الوصول إلى CyberQ Labs لمدة ستة أشهر
- شهادة إتمام الدورة
- دورة Cyber Range لمدة 30 يومًا على نظام Aspen التابع لـ EC-Council لسيناريوهات التدريب الواقعية، مما يعزز فرصك في تحقيق درجة عالية في الامتحان.
عند الدفع، ستتلقى رمز نظام إدارة التعلم ورمز قسيمة الاختبار في غضون 1-3 أيام عمل، مما يضمن لك إمكانية بدء استعداداتك دون تأخير. للحصول على أي معلومات إضافية، لا تتردد في التواصل مع admin@ec-council.pro .
لا تفوت هذه الفرصة للارتقاء بمسيرتك المهنية في مجال الأمن السيبراني من خلال الحصول على شهادات CPENT وLPT. سجل اليوم وافتح عالمًا من الإمكانات!
قم بشراء مجموعة CPENT iLearn الخاصة بك هنا واحصل عليها خلال 1 - 3 أيام!