يستخدم الكثيرون اختبارات الصندوق الأسود لتقييم أمنهم السيبراني، لكن لها عيوبها. وهنا حيث يقصر، وما يمكنك القيام به.
اختبارات الاختراق ضرورية لأمن الشركة. وهي عبارة عن هجمات إلكترونية يتم التحكم فيها ومحاكاتها ويتم إجراؤها لتحديد نقاط الضعف ونقاط الضعف في الدفاعات الأمنية للنظام أو الشبكة. هناك ثلاثة أنواع من اختبارات الاختراق: الصندوق الأسود، والصندوق الرمادي، واختبارات اختراق الصندوق الأبيض.
يفضل الكثيرون اختبار اختراق الصندوق الأسود لأنهم يشعرون أنه التمثيل الأكثر واقعية للتهديد السيبراني الحقيقي. ومع ذلك، فإن جاذبية الواقعية هذه يمكن أن تطغى في بعض الأحيان على العيوب المحتملة. لهذا السبب قد تعيد النظر في اختيار اختبار اختراق الصندوق الأسود لتقييمك الأمني القادم.
ما هو اختبار اختراق الصندوق الأسود؟
اختبار اختراق الصندوق الأسود هو تحليل للأمن السيبراني حيث يحاكي المختبرون الهجمات على النظام، وتقليد منظور مهاجم خارجي لتحديد نقاط الضعف من وجهة نظر خارجية.
تمامًا مثل المهاجم الحقيقي، قد لا يكون لدى أداة اختبار اختراق الصندوق الأسود أي رؤى داخلية حول أصول نظامك وبنيته التحتية، مما يجعله اختبارًا حقيقيًا لدفاعاتك. ويعتمد هذا النهج على تكرار سيناريو التهديد الخارجي الذي يبحث عن نقاط الضعف.
يتبع المختبرون غرائزهم ومعرفتهم بنواقل الهجوم، ويحاولون التسلل وكشف نقاط الضعف في أصول المنظمة. في حين أن الهدف هو عكس مخاطر العالم الحقيقي، فمن المهم الاعتراف بأن هذا يأتي على حساب التغاضي عن الثغرات المحتملة التي لا يمكن الكشف عنها إلا من خلال المعرفة الداخلية.
لماذا قد يكون اختبار اختراق الصندوق الأسود قصيرًا؟
بحسب ال معيار التحقق من أمان تطبيق OWASP 4.0أثبتت اختبارات اختراق الصندوق الأسود وجود مشكلات أمنية حرجة على مدار الثلاثين عامًا الماضية، مما أدى إلى حدوث انتهاكات واسعة النطاق. لكن اختبارات الصندوق الأسود، خاصة عندما يتم إجراؤها في نهاية التطوير، لا تشكل ضمانًا فعالاً للأمن.
ضيق الوقت
الشيء الوحيد الذي يفصل بشكل كبير بين اختبار اختراق الصندوق الأسود والهجوم الإلكتروني الحقيقي هو الوقت الذي يستغرقه تنفيذ كليهما. لدى الجهات الفاعلة الخبيثة الكثير من الوقت لتنفيذ الهجمات، والتي تمتد لأشهر أو حتى سنوات؛ وفي الوقت نفسه، يتم الانتهاء من معظم اختبارات الاختراق في غضون أسابيع قليلة.
يحتاج المهاجمون إلى نقطة دخول أو نقطة ضعف واحدة فقط للوصول إلى النظام، ويمكنهم البقاء على ذلك لعدة أشهر. نظرًا لأن اختبار الاختراق له إطار زمني مقيد، فإن هذا غالبًا ما يحد من عمق الاستكشاف، مما يجعل مختبر الاختراق غير قادر على محاكاة هجوم إلكتروني بشكل كامل.
المعرفة المحدودة
على الرغم من أن اختبار الصندوق الأسود مصمم لتقليد التهديدات الخارجية، إلا أنه يفتقر إلى السياق الذي تمتلكه الفرق الداخلية. بدون فهم تفاصيل بنية نظامك ودفاعاته، قد يتجاهلها مختبرو الاختراق نقاط الضعف الحرجة التي لم يكن بإمكانهم اكتشافها إلا إذا كانت لديهم معرفة بالأصول وكيف كانت متطور.
قد يؤدي هذا في بعض الأحيان إلى تقييم منحرف. قد يستهدف المختبرون فقط نقاط الدخول المشتركة، ويتجاهلون مناطق معينة على افتراض أن المهاجمين لن يستغلوها، مما يؤدي إلى إغفال النقاط العمياء المحتملة التي قد يكشف عنها تقييم أكثر شمولاً. لهذا السبب بعض يقوم المخترقون بجمع المعلومات الاستخبارية ثم الهجوم، مما يجعل مقياسًا أكثر دقة لأمنك.
التقليل من التهديدات الداخلية
التركيز فقط على التهديدات الخارجية يتجاهل المخاطر التي يشكلها المطلعون. قد لا يقوم اختبار الصندوق الأسود بتقييم نقاط الضعف التي يمكن أن يستغلها الموظف أو المقاول الذي لديه حق الوصول بشكل كافٍ.
النظر في نهج متوازن
توفر اختبارات اختراق الصندوق الرمادي والصندوق الأبيض مزايا فريدة تكمل طريقة الصندوق الأسود.
يحقق اختبار الصندوق الرمادي التوازن من خلال توفير معلومات داخلية محدودة، ومحاكاة مهاجم واسع المعرفة. وفي الوقت نفسه، يوفر اختبار الصندوق الأبيض فحصًا شفافًا للعمل الداخلي لنظامك، مما يسمح بتحديد نقاط الضعف بدقة. يوفر اختيار مزيج من هذه الأساليب رؤية أفضل لنقاط الضعف في مؤسستك. إن تبني نهج متوازن يعزز دفاعاتك ويعزز المرونة الاستباقية في مواجهة التهديدات المعروفة وغير المتوقعة.