تست غیرمخرب شبکه سازمانی
مفاهیم اولیه تست Penetration > ملاحظات اصلی در انتخاب تست کننده

پس از تصمیم‌گیری برای انجام یک تست Penetration توسط کمپانی، باید عرضه‌کننده چنین سرویسی را بر اساس پارامترهای مختلفی تعیین کرد. در زیر به برخی از این پارامترها اشاره
شده‌است:
۱- مسئولیت پذیری عرضه‌کننده در تضمین امنیت شبکه پس از انجام فعالیت‌هایش و جبران خسارت‌های احتمالی آینده
۲- پرسش در مورد مرجع ثالث: در میان کارکنان قبلی کمپانی ممکن است افرادی باشند که عرضه‌کننده سرویس تست با آن‌ها ارتباط داشته باشد. مشتریان به دلیل حریم خصوصی نمی‌خواهند نامی از ایشان برده شود. اما برخی از کمپانی‌ها تمایل دارند در مورد توانایی هایشان با عرضه‌کننده سرویس تست Penetration بحث و گفتگو نمایند.
۳- انجام کنترل‌های پیش زمینه: کمپانی‌ها همچنین باید اطلاعات کاملی از پیش زمینه بزهکارانه (احتمالی) کارکنان خود در اختیار عرضه‌کننده سرویس تست Penetration قرار دهند. گاهی اوقات خود
عرضه‌کننده سرویس تست Penetration مسئول تهیه این اطلاعات می‌باشد.
۴- پرسش در مورد گزارشات نمونه: این گزارشات نباید واقعی باشند. در غیر این صورت چه کسی می‌تواند بگوید که عرضه‌کننده سرویس تست Penetration از گزارشات مربوط به یک مشتری برای مشتری دیگر استفاده نمی‌کند. همیشه باید از همکاری با گزارشات واقعی اجتناب کرد. گزارشات نمونه باید عمومی و کلی و بدون ارجاع و اشاره به هویت کمپانی خاصی باشند. آن‌ها باید حرفه‌ای بودن خود را در تمام زمان‌ها حفظ نمایند.
۵- تعیین محدوده تست: کمپانی باید مطمئن باشد که عرضه‌کننده سرویس تست Penetration به تمام جوانب کار می‌پردازد. در غیر این صورت باید آن را تعویض کرده یا از چند عرضه‌کننده سرویس تست Penetration بهره گرفت.
۶- تشخیص این که آیا عرضه‌کننده سرویس تست Penetration از Hackerهای کلاه سیاه استفاده می‌کند یا خیر: برخی از عرضه‌کننده‌های سرویس تست Penetration در تیم تست شان از Hackerهای کلاه سیاه استفاده می‌کنند. بهتر است از همکاری با چنین شرکت‌هایی اجتناب شود چون مشخص نیست که این افراد چقدر به اصول اخلاقی حرفه‌شان پایبند هستند.
۷- اجتناب از همکاری با شرکت‌هایی که خدمات Hack را به صورت رایگان انجام می‌دهند: بعضی از شرکت‌ها پیشنهاد Hack کردن رایگان شبکه سازمان و دریافت جایزه در صورت توانایی نفوذ به سیستم را ارائه می‌دهند. از همکاری با این شرکت‌ها باید اجتناب شود چون نشان دهنده ناامیدی کمپانی از برطرف شدن مشکلات امنیتی اش است.
۸- تعیین اینکه آیا عرضه‌کننده سرویس تست Penetration از قوانین و مقررات کسب و کار سازمان آگاهی دارد یا خیر
۹- تعیین اینکه عرضه‌کننده سرویس تست Penetration فعالیت‌های خودش را در چه بازة زمانی انجام
می‌دهد.
۱۰- اطمینان حاصل کردن از اینکه سرویس تست Penetration تنها سرویسی است که شرکت مورد نظر ارائه می‌نماید: برخی از سازمان‌های کوچک یکپارچه سرویس تست Penetration را به عنوان یکی از
ده‌ها سرویس ارائه شوند پیشنهاد می‌نمایند. این امر به خودی خود بد نیست اما قبل از شروع همکاری کمپانی باید در مورد اینکه این قبیل شرکت‌ها چقدر بر روی آیتم مورد نظر سرمایه‌گذاری کرده‌اند تحقیق نماید.
۱۱- آگاهی یافتن از Certificateهایی که تست کنندگان قبلاً دریافت داشته‌اند: برخی از معروف‌ترین Certificateهای بحث امنیت عبارتند از: CCIE Security,CEH, CISSP, CCSP, GIAC,OPSTA و +Security
۱۲- تعیین اینکه عرضه‌کننده سرویس تست Penetration به کمک آدرس‌های IP تست را انجام می‌دهد: وقتی قرار است آزمون جعبه سیاه انجام شود تنها باید یک Domain Name برای تست مدنظر قرار بگیرد.
۱۳- تعریف یک زمان مشخص برای پایان فرایند تست: زمان انجام هر تست ممکن است مختلف باشد. اما به صورت تیپیک ممکن است بین ۲ هفته تا ۲ ماه به طول انجامد.
۱۴- تعیین Log فایل‌ها، اطلاعات تصویری و داده‌های خامی که عرضه‌کننده سرویس تست Penetration باید برای کمپانی مورد تست فراهم نماید.
۱۵- پرسیدن تکنولوژی و متدولوژی‌هایی که عرضه‌کننده سرویس تست Penetration از آن‌ها قرار است استفاده نماید از شرکت مورد نظر: آیا تنها از ابزارهای پویش مانند Nessus, Saint, Sara, Satan, ISS, eEye وNetRecon استفاده می‌شود یا از ابزارهای گوناگونی که برای سیستم عامل‌های مختلف طراحی شده‌اند بهره گرفته می‌شود. متدولوژی مورد استفاده OSSTMM یا امثال آن است یا خیر؟ و ملاحظاتی از این قبیل.
۱۶- تعیین اینکه کمپانی می‌خواهد از یک عرضه‌کننده سرویس تست Penetration استفاده کند یا قرارداد بستن با چند شرکت را مدنظر دارد.
۱۷- ملاقات با اعضای تیم تست و اطمینان حاصل کردن از اینکه همان افرادی هستند که برای این پروژه در نظر گرفته شده‌اند. [۲]