Penetration Testing أو “اختبار الاختراق” هو تقييم أمني تتعاقد فيه المؤسسة مع خبراء، داخليين أو من شركة متخصصة، لمحاولة اختراق أنظمتها بنفس أساليب المهاجمين الحقيقيين، لكن بتصريح مكتوب ونطاق محدد. الهدف ليس فقط إيجاد الثغرات، بل إثبات ما يمكن للمهاجم فعله فعلياً عند استغلالها وتقديم توصيات لإصلاحها.
أنواع الاختبار حسب المعلومات المتاحة
- Black Box: المختبِر لا يعرف شيئاً عن البيئة، كمهاجم خارجي.
- Grey Box: يحصل على معلومات جزئية كحساب مستخدم عادي، وهو الأكثر شيوعاً وكفاءة.
- White Box: يحصل على معلومات كاملة كالمخططات والكود المصدري.
وحسب الهدف: اختبار الشبكة الخارجية، والشبكة الداخلية و Active Directory، وتطبيقات الويب والموبايل، والشبكات اللاسلكية، والبيئات السحابية، واختبارات الهندسة الاجتماعية.
مراحل الاختبار
- التخطيط والتصريح: تحديد النطاق، وقواعد الاشتباك (Rules of Engagement)، والأوقات المسموحة، وجهات التواصل في الطوارئ.
- الاستطلاع (Reconnaissance): جمع المعلومات عن الأنظمة والنطاقات.
- الفحص (Scanning): اكتشاف الأجهزة والمنافذ والخدمات بأدوات مثل Nmap، والبحث عن الثغرات.
- الاستغلال: إثبات قابلية الاستغلال بحذر شديد حتى لا تتأثر الأنظمة الإنتاجية.
- ما بعد الاستغلال: قياس مدى ما يمكن الوصول إليه، كرفع الصلاحيات والتنقل داخل الشبكة.
- التقرير: ملخص تنفيذي للإدارة، وتفاصيل تقنية لكل ثغرة بدرجة خطورتها وخطوات إصلاحها.
مثال واقعي
في اختبار داخلي نموذجي يبدأ المختبِر بحساب موظف عادي، فيجد كلمة مرور مخزنة في سكربت على مجلد مشترك، تقوده إلى حساب خدمة له صلاحيات زائدة، ومنه إلى صلاحيات Domain Admin خلال يوم واحد. لم تكن أي ثغرة منفردة “حرجة”، لكن تسلسلها كشف خطراً كبيراً. هذه القيمة لا تظهر في الفحص الآلي وحده.
الأدوات والشهادات
من الأدوات الشائعة: Nmap و Burp Suite و Metasploit و BloodHound. ومن الشهادات المعروفة في المجال: OSCP و CEH و PNPT و eJPT.
الفرق بين Vulnerability Assessment و Pentest و Red Team
- Vulnerability Assessment: فحص واسع وآلي غالباً لإيجاد أكبر عدد من الثغرات المعروفة دون استغلالها.
- Penetration Testing: تعمق يدوي لإثبات الاستغلال وأثره ضمن نطاق محدد.
- Red Teaming: محاكاة طويلة لمهاجم بهدف محدد، تختبر أيضاً قدرة فريق الدفاع (SOC) على الاكتشاف والاستجابة.
تنبيه مهم: أي اختبار لأنظمة لا تملكها دون تصريح كتابي من مالكها جريمة يعاقب عليها القانون.
