اختبار الاختراق

اختبار الاختراق  ويسمى أحيانا Pentest، هو وسيلة لتقييم أمان نظام حاسوب أو شبكة ما بواسطة محاكاة هجوم من قبل مخربين من الخارج (من ليست لديهم وسيلة مصرح بها للوصول إلى أنظمة المؤسسة) أو مخربين من الداخل (من لديهم تصريح جزئي للوصول).The basics of hacking and penetration testing, Elsevier, 2013  تتكون العملية من تحليل فعال للنظام لكشف عن مواطن الضعف التي يمكن أن يكون سببها ضعف أو سوء في مكونات النظام، عيوب معروفة وغير معروفة في الأجهزة أو البرمجيات، أو نقاط ضعف تشغيلية في المعالجة أو التقنيات المضادة. قضايا الأمان التي تم الكشف عنها من خلال «اختبار الاختراق» تقدمة لمالك النظام. اختبارات الاختراق الفعالة سوف تربط هذه المعلومات مع تقييم دقيق للآثار المحتملة على المؤسسة وخلاصة مجموعة من الإجراءات الفنية للحد من المخاطر.
تكمن قيمة «إخبار الاختراق» في عدة نقاط:
 تحديد الجدوى من مجموعة معينة من وسائل الهجوم.
 التعرف على نقاط الضعف الخطيرة التي تنتج عن مزيج من نقاط الضعف الأقل خطراً تم إستغلالها بتسلسل معين.
 تقييم قيمة الأعمال والتشغيلات المحتملة التي قد تتأثر بهجمات ناجحة.
 اختبار قدرة حماية الشبكة على تحديد هجوم والرد عليه بنجاح.
 تزويد أدله لدعم الاستثمارات المتزايدة في مجال أمن الافراد والتكنولوجيا.

 الصندوق الأسود والصندوق الأبيض 
اختبار الاختراق يمكن أن يتم بعدة طرق. الاختلاف الأكثر شيوعاً هو كم المعرفة المتوفرة للمُختبِر حول تفاصيل عمل النظام المرغوب اختباره، صندوق الاختبار الأسود يفترض عدم وجود أي معرفة مسبقة عن البنية التي يراد فحصها. يجب على المختبرين أولاً تحديد مكان وامتداد الأنظمة قبل البدء بتحليلاتهم. في الجهة المقابلة صندوق الاختبار الأبيض يزود المختبرين بمعرفة كاملة عن البنية المراد اختبارها، بما في ذلك عادة مخططات الشبكة، الشفرة المصدرية ومعلومات عنوان الآي بي. هناك أنواع أخرى من الاختبار تقع في المنتصف، عادة تعرف كصندوق الاختبار الرمادي. يمكن أن يتم وصف اختبار الاختراق باختبار «الكشف الكامل» (الصندوق الأبيض)، «الكشف الجزئي» (الصندوق الرمادي)، أو «أعمى» (الصندوق الأسود) اعتماداً على كم المعلومات المتوفرة لمجموعة المختبرين.
إشكالية المزايا النسبية لهذه الطرق في أن، اختبار الصندوق الأسود يحاكي هجوماً من شخص غير معتاد على النظام في حين أن اختبار الصندوق الأبيض يحاكي ما قد يحدث خلال «عمل داخلي» أو بعد «تسرب» معلومات حساسة، عندما يصل المهاجم للشفرة المصدرية، مخططات الشبكة ويحتمل بعض كلمات المرور.
الخدمات المعروضة بواسطة «شركات اختبار الاختراق» تمتد على نطاق مشابه، من مسح بسيط لعنوان الآي بي لمؤسسة ما، إلى فتح منافذ ولافتات تعريف إلى مراجعة كاملة للشفرة المصدرية لتطبيق أو برنامج معين.

 مخاطر 
اختبار الاختراق يمكن أن يكون تقنية لا تقدر بثمن لأي مؤسسة معلومات أو أمن برامج. صندوق اختبار الأختراق الأبيض الأساسي عادة يتم كعملية مؤتمته بشكل كامل وغير مكلفة. لكن صندوق الاختبار الاختراق الأسود هو نشاط عمل مكثف ويتطلب خبرة لتقليل الخطر على الأنظمة المستهدفة. كحد أدنى، قد يبطئ وقت استجابة شبكة المؤسسة بسبب فحص المنافذ والثغرات، بالإضافة لإمكانية أن الأنظمة قد تتعطل في فترة اختبار الاختراق ويمكن اعتبارها غير صالحة للعمل، مع ذلك المؤسسة تستفيد في معرفة أن النظام يمكن أن يعطل من قبل متسلل. على الرغم من أنه يمكن تخفيف هذا الخطر من خلال استخدام مختبري إختراق ذوي خبرة، لكن لا يمكن تفاديه بشكل كامل.

 طالع أيضا 
 أمن الحاسوب
 هجوم دون انتظار 
 باك تراك
 اقتصاديات الأمن
 مراجع 

تصنيف:أمن الحاسوب
تصنيف:أمن البيانات
تصنيف:أمن شبكات الحاسوب
تصنيف:اختبار البرمجيات
تصنيف:قرصنة الحاسوب