اختبار الاختراق الخارجي والداخلي: ما الذي يكشفه كل منهما

كثيرًا ما تُشترى اختبارات الاختراق بندًا سنويًا للامتثال بنطاق ثابت: عناوين IP العامة والموقع الإلكتروني. لهذا الاختبار قيمته، لكنه وحده يجيب عن سؤال واحد فقط. ومعرفة ما يغطيه كل نوع من الاختبارات تساعدك على إنفاق الميزانية حيث يكمن الخطر.

الاختبار الخارجي

يفحص الاختبار الخارجي كل ما يمكن الوصول إليه من الإنترنت: المواقع الإلكترونية، وبوابات الشبكات الافتراضية الخاصة، وخدمات البريد، وبوابات الوصول عن بُعد، وواجهات الإدارة المكشوفة، والخدمات السحابية. ويبحث المختبرون عن برمجيات غير محدّثة، ومصادقة ضعيفة، وإعدادات خاطئة، وأنظمة منسية. والفئة الأخيرة شائعة: خادم اختبار من مشروع قديم، ما زال متصلًا، وما زال يستخدم بيانات الدخول الافتراضية.

الاختبار الداخلي

يبدأ الاختبار الداخلي من داخل الشبكة، كأن حاسوب أحد الموظفين قد استُولي عليه عبر رسالة تصيّد. ومن هناك يحاول المختبرون التنقل بين الأنظمة واكتساب صلاحيات أعلى. وفي بيئات Windows يمر المسار المعتاد عبر Active Directory: كلمات مرور ضعيفة لحسابات الخدمات، وصلاحيات زائدة، وبروتوكولات قديمة ما زالت مفعّلة، وبيانات دخول مخزنة على الأجهزة. وكثيرًا ما ينتهي الاختبار بالوصول إلى صلاحيات مدير النطاق، ويُظهر التقرير سلسلة الخطوات الدقيقة التي أدت إلى ذلك.

اختبار الفصل بين الشبكات

حيث تُفصل الشبكات لسبب ما، كبيانات حاملي البطاقات أو التقنيات التشغيلية أو شبكة الضيوف، ينبغي أن يتأكد الاختبار من أن هذا الفصل صامد فعلًا. ويشترط معيار PCI DSS ذلك في بيئات الدفع، إلى جانب اختبارات داخلية وخارجية مرة في السنة على الأقل وبعد أي تغييرات جوهرية.

كيف تستفيد من الاختبار

• اتفقوا كتابيًا على قواعد الاشتباك: النطاق والتوقيت وجهات الاتصال وما هو خارج الحدود؛
• أخبروا المختبرين بالتغييرات الأخيرة، حتى يختبروا ما يهم؛
• اطلبوا النتائج مرتبة بحسب الخطر الفعلي، مع خطوات إعادة إنتاجها؛
• احجزوا اختبارًا لاحقًا، لتعرفوا أن الإصلاحات نجحت.

متى تذهب أبعد

إذا كانت ضوابطكم ناضجة، فإن تمرين الفريق الأحمر يختبر الكشف والاستجابة إلى جانب الوقاية، من خلال السعي إلى هدف محدد على مدى أسابيع، بدلًا من سرد الثغرات على مدى أيام.

ينفذ فريق الأمن الهجومي لدينا اختبارات الاختراق الخارجية والداخلية واختبارات تطبيقات الويب والهواتف واختبارات الفصل بين الشبكات، إلى جانب تمارين الفريق الأحمر، مع إعادة الاختبار ضمن الخدمة.