ارزیابی امنیتی به دلیل وجود هکرها و افراد سودجو در فضاهای مجازی و سایبری یکی از الزامات برای نگهداری و حفظ اطلاعات حساس به کار می رود. همچنین در ارزیابی می توان با یافتن آسیب های موجود در شبکه، آنها را شناسایی و مانع از دستیابی نفوذگران به منابع اطلاعاتی شد. بنابراین افرادی که نگران بانک اطلاعاتی خود و داده ها و سایت های خود هستند با این کار خطر دسترسی به اطلاعات مهم شبکه را کاهش می دهند.
ارزیابی امنیتی داده، داده های موجود در گنجینه اطلاعاتی شما را ارزیابی و از آنها محافظت می کند. با پیشرفت علم و فناوری بسیاری از شرکت ها و موسسات امور خود را از طریق اینترنت و از راه دور انجام می دهند، به همین دلیل برای امنیت داده و اطلاعات خود به شبکه ای قوی و جامع نیاز دارد تا با حفظ داده های آن، نیازهایشان را برطرف کند.
هدف اصلی در ارزیابی امنیتی، شناسایی آسیب پذیری های موجود بدون بهره برداری از آنها است. این رویکرد بیشتر با ابزارهای خودکار صورت می گیرد که با جستجو در شبکه، نقاط ضعف مانند پیکربندی های اشتباه، نرم افزار های منسوخ یا آسیب پذیر، و ... داده هایی جامع از وضعیت امنیتی می گیرند. با استفاده از این داده ها، گزارشی کلی از وضعیت امنیتی سازمان شما ارائه خواهیم داد. در این گزارش، ریسک ها، میزان خطر، و راهکارها عرضه خواهد شد. برای اطمینان از امنیت، بهتر است این رویکرد به صورت دوره ای تکرار شود تا با تغییرات اعمال شده همگام شده و نقطه ضعف دیگری اضافه نشده باشد.
تفاوت اصلی ارزیابی امنیتی با تست نفوذ، در بهره برداری از آسیب پذیری ها است. در ارزیابی امنیتی، حفره های امنیتی بررسی و گزارش می شوند. در تست نفوذ، علاوه بر یافتن نقاط ضعف، از آنها برای اهداف مختلفی همانند گرفتن دسترسی، کسب اطلاعات، بررسی واکنش ها به حمله ها، و ... استفاده می شوند. این دو رویکرد مکمل همدیگر برای بررسی وضعیت امنیتی سازمان شما هستند.
-
تعیین محدوده پروژه
پیش از اجرای پروژه در جلسه ای با حضور افراد مطلع از سوی کارفرما تلاش می‌کنیم تا محدوده ی مورد نظر کارفرما جهت اجرای پروژه ارزیابی امنیتی را تعیین کرده و موارد زیر را مشخص نماییم.
1. آدرس دارایی های از سازمان که برای اجرای پروژه ارزیابی امنیتی در نظر گرفته شده است.
2. توافق بر روی آدرس IP های استثنا و یا برخی از خدمات خاص که در محدوده ارزیابی امنیتی مورد بررسی قرار نخواهند گرفت.
3. توافق بر روی مدت زمان و محل اجرای پروژه
-
جمع آوری اطلاعات
در این مرحله تلاش می شود تا حداکثر میزان اطلاعات از شبکه مورد نظر (در محدوده ی مورد توافق) و با استفاده از منابع اطلاعاتی موجود در داخل و خارج از شبکه استخراج شود. شناسایی پورت های باز و مورد استفاده، سرویس های آماده به کار بر روی هریک از پورت ها و نسخه به کار گرفته شده در راه اندازی سرویس ها از جمله اطلاعاتی است که در این بخش به جمع آوری آنها می‌پردازیم.
-
صحت سنجی اطلاعات
ارزیابی صحت اطلاعات بدست آمده از جمله مواردی است که در کیفیت اجرای پروژه بسیار تاثیرگذار می‌باشد. از همین رو پس از اجرای بخش جمع آوری اطلاعات به اعتبار سنجی اطلاعات بدست آمده می‌پردازیم. در این مرحله هر جزئی از اطلاعات را که در نادرستی آن به یقین برسیم با جمع آوری شواهد مرتبط با آن به عنوان تشخیص خطادار در نظر می گیریم.
-
شناسایی آسیب پذیری ها
شناسایی آسیب پذیری ها اغلب شامل خروجی گرفتن از ابزارهای استفاده شده است. در این فرایند هدف اصلی شناسایی نقاط ضعف مربوط به سیستم ها، تجهیزات، نرم افزار‌ها و همچنین برخی نواقص در طراحی زیرساخت های شبکه می باشد. نتیجه این بخش شامل لیستی از آسیب پذیری های مختلف و سرویس های دارای ضعف امنیتی می باشد. این آسیب پذیری ها می تواند مربوط به تنظیم نادرست تجهیزات یا وجود یک خطای نرم افزاری و یا موارد متعدد دیگر باشد.
-
راستی آزمایی
پس از شناسایی آسیب پذیری ها، نیاز به تحلیل تمامی داده ها و راستی آزمایی خواهیم داشت. برای تبدیل این داده ها به اطلاعات قابل استناد، کارشناسان ما خروجی های بدست آمده را بررسی کرده و از صحت وجود آنها و تهدید بودن آنها اطمینان حاصل می کنند. در این حین False Positive یا آسیب پذیری هایی که برای سازمان خطرآفرین نیستند طبقه بندی شده و از آسیب پذیری های خطرناک موجود تفکیک خواهند شد.
-
جمع بندی و گزارش نویسی
در راسپینا نت پارس، این بخش بسیار جدی و با اهمیت در نظر گرفته می شود تا بتوانیم تمامی مراحل انجام کار به همراه تجربیات بدست آمده توسط تیم فنی و همچنین نتایج و یافته های حاصل از انجام سرویس ارزیابی امنیتی را در یک گزارش علمی به همراه بیان دلایل و نمایش شواهد عملی به صورت درست و دقیق و در در قالب گزارش هایی بر اساس استاندارد PTES و با فرمت مورد توافق در اختیار مشتری هایمان قرار دهیم.
-
ارائه نتایج حاصل از اجرای پروژه
در صورت تمایل کارفرمای محترم، پیشنهاد می شود تا پس از تحویل گزارش نهایی، در جلسه ای با حضور تمامی افراد مورد نظر کارفرما، نتایج حاصل از اجرای پروژه برای حضار محترم ارائه و در مورد جزئیات آن بحث و تبادل نظر صورت گیرد.
-
بررسی مجدد دوره ای (در صورت درخواست)
هدف راسپینا نت پارس از ارائه سرویس ارزیابی امنیتی شبکه کمک به کشف ضعف های امنیتی می باشد. به همین منظور برای اطمینان از به روز بودن گزارش و ناشناخته نماندن و رصد آسیب پذیری های جدید، انجام دوره ای ارزیابی امنیتی توصیه می شود.