خدمات تست نفوذ شبکه کهن سیستم فردا: امنیت پیشگیرانه برای کسب‌وکارهای پایدار
خدمات تست نفوذ شبکه کهن سیستم فردا امنیت پیشگیرانه، کسب‌وکار پایدار
در دنیای دیجیتال امروز که تهدیدات سایبری هر لحظه پیچیده‌تر می‌شوند، امنیت شبکه سازمان شما یک اولویت مطلق است. کهن سیستم فردا با ارائه خدمات تست نفوذ شبکه (Network Penetration Testing) پیشرفته و تخصصی، به شما کمک می‌کند تا قبل از آنکه مهاجمان واقعی فرصت نفوذ پیدا کنند، آسیب‌پذیری‌های امنیتی خود را شناسایی کرده و با راهکارهای عملی، سد دفاعی مستحکمی در برابر حملات ایجاد نمایید. با ما، امنیت را به مزیت رقابتی خود تبدیل کنید.
- تجربه در خدمات شبکه
- ۱۹ سال
- دفتر
- ۰۲۱-۲۶۲۳۰۰۵۴
چرا این محصول
تست نفوذ
درک عمیق تست نفوذ شبکه فراتر از یک بررسی امنیتی ساده
تست نفوذ شبکه (Network Penetration Testing)، که اغلب به عنوان “هک اخلاقی” نیز شناخته می‌شود، یک فرآیند ارزیابی امنیتی کنترل‌شده و مجاز برای زیرساخت شبکه یک سازمان است. در این روش، متخصصان امنیت سایبری شرکت کهن سیستم فردا، با به‌کارگیری همان ابزارها، تکنیک‌ها و طرز فکری که مهاجمان واقعی استفاده می‌کنند، تلاش می‌کنند تا به سیستم‌ها و داده‌های حساس شما نفوذ کنند. هدف اصلی از ارائه خدمات تست نفوذ شبکه، شناسایی دقیق آسیب‌پذیری‌های قابل بهره‌برداری، ارزیابی میزان کارایی و مقاومت لایه‌های دفاعی موجود (مانند فایروال‌ها، سیستم‌های تشخیص و پیشگیری از نفوذ) و در نهایت، درک واقعی از میزان ریسکی است که کسب‌وکار شما با آن مواجه است. این اقدام پیشگیرانه به شما کمک می‌کند تا پیش از وقوع حملات واقعی، نقاط ضعف خود را شناخته و با اطمینان بیشتری در مسیر رشد گام بردارید. برخلاف ارزیابی آسیب‌پذیری صرف، تست نفوذ با تلاش برای بهره‌برداری فعال از ضعف‌ها، عمق و پیامدهای واقعی یک نفوذ موفق را آشکار می‌سازد.
رویکرد سیستماتیک
رویکرد سیستماتیک و چندمرحله‌ای کهن سیستم فردا در اجرای خدمات تست نفوذ شبکه
تست نفوذ کهن سیستم فردا: متدولوژی استاندارد، جامع، چندمرحله‌ای؛ تضمین پوشش، نتایج دقیق. برنامه‌ریزی و شناسایی (Planning and Reconnaissance) با همکاری‌تان: تعریف اهداف، محدوده، قوانین، جمع‌آوری اطلاعات اولیه. اسکن و کشف (Scanning and Discovery): شناسایی و ارزیابی سیستم‌ها، پورت‌ها، سرویس‌ها، آسیب‌پذیری‌ها. نفوذ و بهره‌برداری (Exploitation and Gaining Access): بهره‌برداری کنترل‌شده و اخلاقی کارشناسان از آسیب‌پذیری‌ها. تحلیل پس از نفوذ و ارتقاء دسترسی (Post-Exploitation) عمق نفوذ و دسترسی‌ها را معین می‌کند. با توافق: حفظ دسترسی، پاک‌سازی (Maintaining Access and Covering Tracks)، پاک‌سازی کامل ردپاها. پایان: تحلیل، مستندسازی، گزارش‌دهی (Analysis, Documentation, and Reporting)، ارائه گزارش کاربردی. به‌کارگیری متدولوژی‌های معتبر (جعبه سیاه، سفید، خاکستری) و استانداردهای جهانی (PTES، NIST).
ایمن‌سازی
گزارش‌های جامع و پشتیبانی کهن سیستم فردا در مسیر ایمن‌سازی
یکی از مهم‌ترین دستاوردهای خدمات تست نفوذ شبکه کهن سیستم فردا، ارائه گزارش‌های نهایی است که نه تنها وضعیت امنیتی شما را به تصویر می‌کشند، بلکه نقشه راهی عملی برای بهبود آن ارائه می‌دهند. این گزارش‌ها با دقت و شفافیت کامل تهیه شده و شامل یک خلاصه مدیریتی قابل فهم برای تصمیم‌گیران ارشد و بخش‌های فنی دقیق برای تیم IT و امنیت شما هستند. محتوای کلیدی گزارش ما شامل لیست جامع آسیب‌پذیری‌های شناسایی شده با درجه‌بندی ریسک واضح (بحرانی، بالا، متوسط، پایین)، توضیح دقیق مراحل و شواهد نفوذ (Proof of Concept)، ارزیابی تأثیر بالقوه هر آسیب‌پذیری بر کسب‌وکار شما، و مهم‌تر از همه، ارائه راهکارهای عملی، فنی، و اولویت‌بندی شده برای اصلاح و کاهش ریسک هر آسیب‌پذیری است. پس از ارائه گزارش، کارشناسان ما در یک جلسه اختصاصی، یافته‌ها را به تفصیل برای تیم شما توضیح داده، به سوالات پاسخ می‌دهند و در مورد برنامه‌ریزی برای اقدامات اصلاحی، مشاوره ارائه می‌دهند. در صورت تمایل شما، کهن سیستم فردا می‌تواند در فرآیند پیگیری و اجرای راهکارهای پیشنهادی نیز شما را یاری کرده و حتی پس از انجام اصلاحات، تست نفوذ مجدد (Retest) را برای اطمینان از رفع موثر آسیب‌پذیری‌ها انجام دهد.
امنیت شبکه
نگاهی ۳۶۰ درجه به امنیت با مجموعه کامل خدمات کهن سیستم فردا
امنیت شبکه تنها یک بخش از پازل بزرگ امنیت سایبری سازمان شماست. کهن سیستم فردا با ارائه طیف وسیعی از خدمات تخصصی، به شما در ایجاد یک سپر دفاعی همه‌جانبه کمک می‌کند. علاوه بر خدمات تست نفوذ شبکه، ما در زمینه‌های تست نفوذ وب‌اپلیکیشن (Web Application Penetration Testing) تخصص ویژه‌ای داریم تا آسیب‌پذیری‌های خاص برنامه‌های کاربردی تحت وب شما را شناسایی و راهکارهایی برای ایمن‌سازی آن‌ها ارائه دهیم (برای اطلاعات بیشتر در مورد [تست نفوذ وب اینجا کلیک کنید – لینک به صفحه مربوطه]). همچنین، برای ارزیابی آمادگی و آگاهی کارکنان شما در برابر حملات فریبنده، خدمات تست مهندسی اجتماعی (Social Engineering Testing) را پیشنهاد می‌کنیم (برای آشنایی با روش‌های [تست مهندسی اجتماعی و تقویت زنجیره انسانی امنیت اینجا کلیک کنید – لینک به صفحه مربوطه]). شرکت ما همچنین قادر به ارائه خدمات مانیتورینگ و نظارت امنیتی (Security Monitoring) پیشرفته برای شناسایی و پاسخ به تهدیدات در لحظه است. برای یک بررسی کامل و همه‌جانبه از وضعیت امنیتی کلی سازمان خود، شامل سیاست‌ها، فرآیندها و فناوری‌ها، می‌توانید از خدمات ارزیابی امنیتی جامع (Comprehensive Security Assessment) ما بهره‌مند شوید و در نهایت، کارشناسان ارشد ما آماده ارائه مشاوره امنیتی استراتژیک (Strategic Security Consulting) برای تدوین استراتژی‌ها و سیاست‌های امنیتی متناسب با کسب‌وکار شما هستند.
پوشش کامل امنیتی با انواع خدمات تست نفوذ شبکه کهن سیستم فردا
-
تست نفوذ خارجی
ارزیابی امنیت سیستم‌های قابل دسترس از اینترنت، شبیه‌سازی حملات مهاجمان بیرونی برای کشف تمامی نقاط ضعف شما.
-
تست نفوذ داخلی
بررسی عمیق امنیت شبکه از داخل سازمان، با فرض عبور مهاجم یا وجود یک تهدید داخلی خطرناک.
-
تست نفوذ شبکه‌های بی‌سیم
شناسایی دقیق آسیب‌پذیری‌های نقاط دسترسی، پروتکل‌ها و سیاست‌های شبکه بی‌سیم سازمان شما جهت ممانعت دسترسی غیرمجاز.
-
بازآزمایی (Retest)
پس از رفع آسیب‌پذیری‌ها، آزمون مجدد انجام می‌شود تا از اصلاح کامل آن‌ها اطمینان حاصل شود.
-
گزارش‌دهی و اولویت‌بندی یافته‌ها
ارائه‌ی گزارش فنی و مدیریتی با اولویت‌بندی ریسک هر آسیب‌پذیری و راهکار اصلاحی مشخص.
-
رعایت محرمانگی و هماهنگی
آزمون‌ها با هماهنگی و مجوز قبلی کارفرما انجام می‌شود و اطلاعات و یافته‌ها محرمانه باقی می‌ماند.
دستاوردهای ارزشمند شما از خدمات تست نفوذ شبکه کهن سیستم فردا
-
شناسایی دقیق آسیب‌پذیری‌ها و کاهش ریسک حملات
نقاط ضعف امنیتی پنهان شبکه شما را قبل از سوءاستفاده مهاجمان شناسایی کرده، ریسک را می‌کاهیم.
-
ارزیابی و تقویت وضعیت امنیتی و دفاع سایبری
اثربخشی کنترل‌ها و سیاست‌های امنیتی فعلی سنجیده شده، راهکارهای عملی برای تقویت دفاع سایبری ارائه می‌شود.
-
کمک به انطباق با استانداردها و افزایش اعتماد ذینفعان
به شما در رفع نواقص امنیتی برای انطباق با استانداردها و جلب اعتماد کامل مشتریان کمک می‌کنیم.
-
دریافت گزارش‌های کاربردی و راهکارهای عملی و اولویت‌بندی شده
گزارش‌های جامع، آسیب‌پذیری‌ها را با راهکارهای فنی، عملی و اولویت‌بندی شده برای رفع سریع ارائه می‌دهد
پاسخ به سوالات پرتکرار شما درباره خدمات تست نفوذ شبکه
پرسش‌های متداول
تست نفوذ شبکه معمولاً چقدر زمان می‌برد؟
مدت زمان انجام تست نفوذ شبکه به عواملی مانند اندازه و پیچیدگی شبکه، محدوده تست (Scope) تعریف شده و نوع تست‌های درخواستی بستگی دارد. پس از جلسه مشاوره اولیه و بررسی نیازهای شما توسط کارشناسان کهن سیستم فردا، یک برآورد زمانی دقیق ارائه خواهیم داد. معمولاً از چند روز تا چند هفته متغیر است
آیا انجام تست نفوذ باعث اختلال در عملکرد عادی شبکه و سرویس‌های ما می‌شود؟
ما در کهن سیستم فردا تمامی تست‌ها را به صورت کنترل‌شده، با برنامه‌ریزی دقیق و با هماهنگی کامل با تیم شما انجام می‌دهیم تا هرگونه احتمال اختلال در عملکرد عادی سرویس‌ها به حداقل ممکن برسد. هدف ما شناسایی آسیب‌پذیری است، نه ایجاد مشکل برای کسب‌وکار شما.
هزینه خدمات تست نفوذ شبکه چگونه محاسبه می‌شود؟
هزینه خدمات تست نفوذ شبکه بر اساس عواملی چون محدوده تست، پیچیدگی زیرساخت، تعداد IPها یا سیستم‌های مورد بررسی و نوع تست‌های درخواستی تعیین می‌شود. ما در کهن سیستم فردا پس از مشاوره اولیه و درک دقیق نیازهای شما، یک پیشنهاد قیمت شفاف و رقابتی ارائه خواهیم داد.
پس از انجام تست نفوذ و رفع آسیب‌پذیری‌ها، هر چند وقت یکبار باید تست مجدد انجام شود؟
توصیه می‌شود تست نفوذ به صورت دوره‌ای (مثلاً سالانه یا شش ماه یکبار) و همچنین پس از هرگونه تغییر عمده در زیرساخت شبکه یا معرفی سرویس‌های جدید، تکرار شود تا امنیت شما به طور مداوم توسط کهن سیستم فردا ارزیابی و حفظ گردد.
اهداف اصلی انجام تست نفوذ شبکه چیست؟
شناسایی دقیق آسیب‌پذیری‌هایی که مهاجم می‌تواند از آن‌ها سوءاستفاده کند. ارزیابی کارایی و مقاومت لایه‌های دفاعی موجود مانند فایروال، سیستم‌های تشخیص/پیشگیری نفوذ و سیاست‌های امنیتی. درک واقعی از سطح ریسک شبکه و نقاط ضعف آن — نه صرفاً هشدار نسبت به آسیب‌پذیری، بلکه شبیه‌سازی عملی نفوذ برای سنجش تأثیر واقعی ضعف‌ها.
مقالات مرتبط
-
تست نفوذ شبکه: رویکردی تخصصی برای ارزیابی و تقویت امنیت زیرساخت‌های سازمانی
تست نفوذ شبکه یک حمله‌ی کنترل‌شده است که ضعف‌های امنیتی واقعی را پیش از مهاجمان شناسایی می‌کند و با روش‌های استاندارد و ابزارهای تخصصی، به…
-
تست نفوذ وب (Web Penetration Testing): سپر نهایی امنیت وب‌سایت
تست نفوذ وب با شبیه‌سازی حملات واقعی و ارزیابی لایه‌های امنیتی وب‌سایت، نقاط ضعف برنامه‌ها و APIها را شناسایی کرده و سازمان‌ها را در تقویت…
-
ویژگی Sophos Firewall SFOS v21 و تازه‌های v22
در عصر حاضر، امنیت شبکه یکی از مهم‌ترین اولویت‌های کسب‌وکارها و سازمان‌های مدرن محسوب می‌شود. تهدیدات سایبری و حملات مخرب روز به روز…
خدمات مرتبط
-
تست نفوذ وب
در دنیای دیجیتال پرشتاب امروز، امنیت وب‌سایت و اپلیکیشن‌های وبی شما دیگر یک گزینه نیست، بلکه یک ضرورت حیاتی است.…
-
Sophos
Sophos Firewall برای حفاظت شبکه، کنترل برنامه‌ها، بازرسی ترافیک رمز‌شده و اتصال امن شعب به‌کار می‌رود. در این صفحه…
-
Fortigate
برای تأمین امنیت شبکه خود، خرید لایسنس‌های Fortigate از شرکت معتبر کهن سیستم فردا بهترین انتخاب است. ما به شما این…
-
امنیت شبکه
برای انتخاب و استقرار راهکار امنیت شبکه، ابتدا دارایی‌ها، مسیرهای دسترسی و نیازهای عملیاتی سازمان بررسی می‌شوند.…
تکمیلی
بخش‌های زیر مکمل متن اصلی صفحه‌اند و بر پایهٔ منابع رسمی فهرست‌شده در انتهای همین بخش نوشته شده‌اند.
تست نفوذ شبکه چیست؟
تست نفوذ شبکه آزمون مجاز و کنترل‌شده‌ای است که در آن کارشناس امنیت مانند یک مهاجم واقعی سعی می‌کند از ضعف‌های شبکه، سرورها، فایروال، Wi-Fi و Active Directory وارد شود و نشان دهد تا کجا پیش می‌رود. خروجی آن فهرستی اولویت‌دار از ضعف‌ها، شواهد نفوذ و راهکار رفع است.
تست نفوذ با ارزیابی آسیب‌پذیری فرق دارد: ارزیابی ضعف‌ها را فهرست می‌کند و تست نفوذ بهره‌برداری از آن‌ها را اثبات می‌کند. در بازار ایران «شرکت تست نفوذ» هم برای تست شبکه و هم تست وب به‌کار می‌رود؛ این صفحه تست شبکه و زیرساخت است و تست نفوذ وب صفحهٔ جدا دارد.
آخرین بازبینی این بخش‌ها: ۲۹ مهر ۱۴۰۵ (۲۱ اکتبر ۲۰۲۶).
مراجع و تغییرات روز تست نفوذ شبکه
گزارش یک تست نفوذ شبکه باید به زبان مشترک صنعت نوشته شود. این مراجع در زمان بررسی (۲۱ اکتبر ۲۰۲۶) جاری هستند:
- MITRE ATT&CK v20: در ۱۳ اکتبر ۲۰۲۶ منتشر شد. نسخهٔ Enterprise آن ۱۵ تاکتیک، ۲۲۷ تکنیک و ۴۷۹ زیرتکنیک دارد و تکنیک‌های تازه‌ای دربارهٔ هوش مصنوعی (مانند خروج داده با کمک AI و تزریق پرامپت مستقیم و غیرمستقیم) به آن اضافه شده است. نگاشت یافته‌ها به ATT&CK کمک می‌کند تیم دفاعی بداند کدام تکنیک را باید پایش کند.
- CVSS 4.0: از نوامبر ۲۰۲۳ منتشر شده و امتیازها با برچسب‌هایی مانند CVSS-B (پایه) یا CVSS-BT (پایه به‌علاوهٔ تهدید) نوشته می‌شوند.
- NIST SP 800-115: راهنمای فنی آزمون امنیت اطلاعات (۲۰۰۸) هنوز در وضعیت «نهایی» در NIST فهرست است؛ در کنار آن PTES (هفت مرحله از تعامل اولیه تا گزارش) مرجع روش‌شناسی رایج است.
- معماری اعتماد صفر: NIST SP 800-207 (۲۰۲۰) اعتماد صفر را معماری حفاظت از منابع می‌داند، نه مکان در شبکه؛ نتایج تست نفوذ داخلی شبکه معمولاً مستقیماً به همین طراحی بازمی‌گردد.
- یافته‌های رایج ۲۰۲۶: ویندوز ۱۰ بدون ESU (پایان پشتیبانی ۱۴ اکتبر ۲۰۲۵) و Exchange 2016 و 2019 (پایان پشتیبانی همان تاریخ) در بسیاری از شبکه‌ها هنوز دیده می‌شوند و از موارد مهم گزارش‌اند.
مقایسهٔ ارزیابی آسیب‌پذیری، تست نفوذ و Red Team
سه خدمت مرتبط اما متفاوت وجود دارد:
| مورد | ارزیابی آسیب‌پذیری | تست نفوذ | Red Team |
|---|---|---|---|
| هدف | فهرست ضعف‌ها | اثبات نفوذپذیری و اثر آن | سنجش توان تشخیص و واکنش سازمان |
| روش | عمدتاً خودکار | ترکیب ابزار و تحلیل دستی | سناریوی مهاجم واقعی، پنهان‌کارانه |
| دامنه | گسترده | تعریف‌شده و محدود | هدف‌محور |
| اطلاع تیم دفاعی | اطلاع دارد | معمولاً اطلاع دارد | محدود یا بدون اطلاع |
تست نفوذ داخلی فرض می‌کند مهاجم از درون شبکه شروع کرده (مثلاً یک ایستگاه آلوده) و مسیر تا کنترل دامنه و سرورها را می‌سنجد؛ تست نفوذ بیرونی سطح در معرض اینترنت (وب، ایمیل، DNS، VPN) را هدف می‌گیرد. در شبکه‌های ویندوزی، ارزیابی Active Directory (دسترسی‌های اضافی، رمزهای ضعیف سرویس، تنظیمات نادرست احراز هویت) بخش اصلی تست داخلی است.
مقایسه با گزینه‌های جایگزین
| روش | چه چیزی می‌دهد | چه چیزی نمی‌دهد |
|---|---|---|
| اسکن آسیب‌پذیری دوره‌ای | پوشش سریع و تکرارپذیر | اثبات زنجیرهٔ حمله و اولویت واقعی |
| تست نفوذ شبکه | مسیر نفوذ و اثر واقعی روی دارایی‌ها | پایش مداوم |
| بازبینی پیکربندی (Hardening Review) | انطباق با راهنمای سخت‌سازی | نشان‌دادن مسیرهای زنجیره‌ای |
| Red Team | سنجش واکنش و تشخیص سازمان | فهرست کامل ضعف‌ها |
سازمانی که برای نخستین بار تست می‌کند معمولاً از ارزیابی آسیب‌پذیری و سپس تست نفوذ شروع می‌کند و پس از رفع یافته‌ها به Red Team می‌رسد. پوشش وب را از تست نفوذ وب و اولویت‌بندی دفاع را از خدمات امنیت شبکه بگیرید.
راهنمای تعیین دامنه و نکات سفارش
زمان تست نفوذ شبکه معمولاً از چند روز تا چند هفته است و با اندازه و پیچیدگی شبکه و دامنهٔ تعریف‌شده تغییر می‌کند. پیش از استعلام این موارد را آماده کنید:
- محدودهٔ آدرس‌ها (IP)، تعداد سرورها و ایستگاه‌ها و نقش آن‌ها
- نوع تست: داخلی، بیرونی یا هر دو؛ جعبه سیاه، خاکستری یا سفید
- وجود Active Directory، VPN، شبکهٔ بی‌سیم و ساختار شعب
- زمان‌های مجاز تست و سیستم‌های حساس که نباید دچار وقفه شوند
- خروجی موردنیاز: گزارش فنی، خلاصهٔ مدیریتی، نگاشت به ATT&CK و بازآزمون
هر تست نفوذ باید مجوز کتبی و قواعد تعامل (Rules of Engagement) داشته باشد: چه آدرس‌هایی در دامنه‌اند، چه ابزارها و چه ساعت‌هایی مجازند و در صورت اختلال با چه کسی تماس گرفته شود. هزینه در این صفحه عدد ثابتی ندارد.
پیاده‌سازی و پشتیبانی توسط کهن سیستم فردا
کهن سیستم فردا تست نفوذ شبکه را با رویکرد چندمرحله‌ای انجام می‌دهد؛ از جلسهٔ مشاورهٔ اولیه و تعیین دامنه تا گزارش. مراحل کلی:
- تعیین دامنه و مجوز و قواعد تعامل
- جمع‌آوری اطلاعات و شناسایی دارایی‌ها
- تحلیل آسیب‌پذیری‌ها
- بهره‌برداری کنترل‌شده برای سنجش اثر واقعی
- گزارش با اولویت‌بندی ریسک و راهکار اصلاحی، و بازآزمون پس از رفع
پس از تحویل گزارش، یافته‌ها را در تیم فنی بررسی کنید و بازآزمون را برای تأیید رفع آسیب‌پذیری‌های مهم زمان‌بندی کنید. تکرار دوره‌ای (سالانه یا شش‌ماهه) و تکرار پس از تغییر بزرگ زیرساخت توصیه می‌شود.
واژه‌نامهٔ تست نفوذ شبکه
| اصطلاح | معنی در عمل |
|---|---|
| تست داخلی / بیرونی | داخلی از درون شبکه شروع می‌شود (مثل یک ایستگاه آلوده) و بیرونی سطح در معرض اینترنت را هدف می‌گیرد. |
| جعبه سیاه/خاکستری/سفید | سطح اطلاعات اولیه تیم تست از هیچ تا اطلاعات کامل شبکه. |
| Active Directory | سرویس دایرکتوری ویندوز؛ هدف اصلی در تست داخلی. |
| جابه‌جایی جانبی (Lateral Movement) | حرکت مهاجم از یک دستگاه به دستگاه‌های دیگر. |
| ارتقای دسترسی (Privilege Escalation) | رسیدن از دسترسی عادی به دسترسی مدیر. |
| Red Team | سناریوی مهاجم واقعی برای سنجش تشخیص و واکنش. |
| MITRE ATT&CK | دانشنامهٔ تکنیک‌های مهاجم؛ یافته‌ها به آن نگاشت می‌شود. |
| CVSS | سامانهٔ امتیازدهی شدت آسیب‌پذیری. |
| قواعد تعامل (RoE) | سند مکتوب دامنه، زمان‌ها، ابزارها و تماس اضطراری. |
| بازآزمون | آزمون مجدد پس از رفع برای تأیید. |
مراحل اجرای تست نفوذ شبکه
- جلسهٔ شروع: هدف، دامنهٔ آدرس‌ها، نوع تست و قواعد تعامل با مدیریت.
- جمع‌آوری اطلاعات و کشف دارایی‌ها و سرویس‌ها.
- ارزیابی آسیب‌پذیری سیستم‌ها و تجهیزات در دامنه.
- بهره‌برداری کنترل‌شده برای اثبات نفوذ، با رعایت زمان‌ها و سیستم‌های حساس.
- گسترش و بررسی اثر پس از نفوذ: دسترسی به داده، حساب‌های مدیر و جابه‌جایی جانبی.
- گزارش فنی و مدیریتی با اولویت‌بندی بر پایهٔ CVSS و نگاشت ATT&CK.
- جلسهٔ ارائه، رفع توسط تیم IT و بازآزمون.
این ترتیب با راهنمای NIST SP 800-115 دربارهٔ آزمون و ارزیابی امنیت هم‌خوان است.
گزارش تست نفوذ شبکه چه چیزهایی دارد؟
- خلاصهٔ مدیریتی با ریسک کلی
- دامنه، روش و محدودیت‌ها
- یافته‌ها با شدت، شواهد و مراحل بازتولید
- مسیرهای نفوذ و زنجیرهٔ حمله
- نگاشت به MITRE ATT&CK
- راهکار رفع و اولویت‌بندی
- نتیجهٔ بازآزمون
هزینه تست نفوذ شبکه از چه عواملی تشکیل می‌شود؟
- تعداد آدرس‌ها، سرورها و ایستگاه‌ها
- تست داخلی، بیرونی یا هر دو
- وجود Active Directory، VPN، Wi-Fi و شعب
- سطح اطلاعات اولیه (سیاه، خاکستری، سفید)
- بازآزمون و جزئیات گزارش
- محدودیت‌های زمانی و سیستم‌های حساس
عدد ثابتی منتشر نمی‌شود؛ پس از تعیین دامنه برآورد داده می‌شود.
پیش از انتخاب شرکت تست نفوذ این سؤال‌ها را بپرسید
- روش‌شناسی بر چه مرجعی بنا شده؟
- نمونه گزارش بدون نام مشتری ارائه می‌شود؟
- چه کسی تست را اجرا می‌کند و سابقهٔ آن چیست؟
- بازآزمون و جلسهٔ ارائه در قیمت هست؟
- ابزارها و روش‌های ممکن برای ایجاد وقفه چیست و چگونه کنترل می‌شود؟
- محرمانگی داده‌ها و پایان قرارداد چگونه است؟
صفحه‌ها و مطالب مرتبط
- تست نفوذ شبکه: رویکردی تخصصی برای ارزیابی و تقویت امنیت زیرساخت‌های سازمانی در مجلهٔ کهن سیستم فردا
- تست نفوذ وب
- خدمات امنیت شبکه و طراحی شبکه
- Sophos و FortiGate برای رفع یافته‌های مرز شبکه
- EDR برای سنجش توان تشخیص
پرسش‌های متداول دربارهٔ تست نفوذ شبکه
تفاوت تست نفوذ با ارزیابی آسیب‌پذیری چیست؟
ارزیابی آسیب‌پذیری فهرست ضعف‌ها را می‌دهد؛ تست نفوذ آن‌ها را دستی اثبات می‌کند و نشان می‌دهد مهاجم با زنجیرهٔ چند ضعف تا کجا می‌رسد.
تست داخلی و بیرونی چه فرقی دارند؟
بیرونی دارایی‌های در معرض اینترنت را می‌سنجد و داخلی فرض می‌کند مهاجم درون شبکه است. بیشتر سازمان‌ها هر دو را لازم دارند.
ATT&CK در گزارش چه کاری می‌کند؟
یافته‌ها را به تاکتیک‌ها و تکنیک‌های استاندارد وصل می‌کند تا تیم دفاعی بداند چه چیزی را پایش کند. نسخهٔ فعلی v20 است (۱۳ اکتبر ۲۰۲۶).
آیا تست نفوذ سرویس‌های ما را مختل می‌کند؟
تست‌ها کنترل‌شده‌اند، اما احتمال اختلال صفر نیست. سیستم‌های حساس، ساعت‌های تست و نقطهٔ تماس اضطراری را در قواعد تعامل مشخص کنید.
گزارش نهایی شامل چیست؟
شرح فنی هر یافته با امتیاز (معمولاً CVSS)، اولویت‌بندی ریسک، راهکار اصلاحی و خلاصهٔ مدیریتی.
هر چند وقت باید تست تکرار شود؟
پیشنهاد رایج سالانه یا شش‌ماهه و پس از هر تغییر بزرگ در شبکه یا ارائهٔ سرویس جدید است.
آیا Active Directory هم تست می‌شود؟
اگر در دامنه باشد، بله؛ در بیشتر شبکه‌های ویندوزی بخش اصلی تست داخلی است.
استاندارد کار چیست؟
PTES و NIST SP 800-115 دو مرجع رایج‌اند؛ برای نام‌بردن استاندارد در قرارداد، آن را هنگام تعیین دامنه مشخص کنید.
تست نفوذ شبکه چیست؟
آزمون مجاز و کنترل‌شده‌ای که ضعف‌های شبکه و سرورها را مانند مهاجم واقعی بهره‌برداری می‌کند تا اثر واقعی آن‌ها نشان داده شود. خروجی گزارش اولویت‌دار با راهکار رفع است.
مراحل تست نفوذ شبکه چیست؟
جلسهٔ شروع و قواعد تعامل، جمع‌آوری اطلاعات، ارزیابی آسیب‌پذیری، بهره‌برداری کنترل‌شده، بررسی اثر، گزارش و بازآزمون. جزئیات در همین صفحه آمده است.
برای شروع تست نفوذ چه مجوزی لازم است؟
مجوز کتبی از مالک سیستم‌ها، فهرست دامنه، زمان‌های مجاز و تماس اضطراری. چک‌لیست کامل در همین صفحه است.
جعبه سیاه، خاکستری و سفید چه فرقی دارند؟
بر پایهٔ اطلاعاتی که تیم تست از قبل دارد: سیاه بدون اطلاعات، خاکستری با حساب و اطلاعات محدود و سفید با اطلاعات کامل شبکه.
«شرکت تست نفوذ» را چگونه انتخاب کنیم؟
روش‌شناسی، نمونه گزارش، سابقه، بازآزمون، محرمانگی و پشتیبانی پس از پروژه را بپرسید. فهرست سؤال‌ها در همین صفحه است.
بعد از دریافت گزارش چه کنیم؟
یافته‌ها را بر پایهٔ شدت اولویت‌بندی و رفع کنید، سپس بازآزمون بگیرید تا بسته شدن ضعف‌ها تأیید شود.
منابع
آخرین بررسی منابع: ۲۹ مهر ۱۴۰۵
- MITRE ATT&CK: به‌روزرسانی‌ها و نسخهٔ v20
- FIRST: مشخصات CVSS 4.0
- NIST: SP 800-115
- NIST: SP 800-207 معماری اعتماد صفر
- Microsoft Learn: پایان پشتیبانی Exchange 2016 و 2019
- Microsoft Learn: ESU ویندوز ۱۰
نسخه‌ها، مدل‌ها و شرایط لایسنس را سازندهٔ محصول تغییر می‌دهد؛ پیش از خرید، مقادیر مهم را با کارشناسان کهن سیستم فردا و سند رسمی سازنده تطبیق دهید.