في عالم أمن الإنترنت ، غالبًا ما يقال الكثير عن الحاجة إلى متسللين أخلاقيين أو ببساطة خبراء أمنيين عبر المؤسسات التي تحتاج إلى أفضل الممارسات الأمنية واكتشاف الثغرات التي تستدعي مجموعة من الأدوات القادرة على إنجاز المهمة.
تم تصميم الأنظمة المعينة لهذه الوظيفة وهي قائمة على السحابة أو مملوكة بطبيعتها أو مفتوحة المصدر في الفلسفة. تتصدى متغيرات الويب بشكل فعال للجهود التي يبذلها اللاعبون الضارون في الوقت الفعلي ، ولكنها لا تبذل قصارى جهدها في اكتشاف الثغرات الأمنية أو التخفيف من حدتها.
مع ذلك ، ستعمل الفئات الأخرى من الأدوات المملوكة أو مفتوحة المصدر على نحو أفضل في منع ثغرات يوم الصفر بشرط أن يقوم المتسلل الأخلاقي بمهمة البقاء في صدارة ما يسمى باللاعبين الخبيثين .
كما هو موضح أدناه ، ستضمن الأدوات المدرجة بيئة آمنة ومأمونة لتقوية أجهزتك الأمنية في مؤسستك المحددة. كما يشار إليه غالبًا ، سيساعد اختبار الاختراق على زيادة WAF (جدار حماية تطبيق الويب) من خلال تنظيم هجوم محاكى لثغرات أمنية قابلة للاستغلال.
عادة ، الوقت هو الجوهر وسيقوم اختبار القلم الجيد بدمج الأساليب المجربة والمختبرة في تنفيذ هجوم ناجح. وتشمل هذه الاختبارات الخارجية والاختبار الداخلي والاختبار الأعمى والاختبار المزدوج التعمية والاختبار المستهدف.
1. جناح Burp (PortSwigger)
مع ثلاث حزم مميزة للمؤسسات والمهنيين والمجتمع ، يسلط Burp Suite الضوء على ميزة النهج المجتمعي للحد الأدنى الضروري لإجراء اختبار pentesting
يتيح التنوع المجتمعي للمنصة للمستخدمين النهائيين الوصول إلى أساسيات اختبار أمان الويب من خلال دفع المستخدمين ببطء إلى ثقافة نهج أمان الويب التي تعزز قدرة الفرد على إحداث مستوى لائق من التحكم في احتياجات الأمان الأساسية لتطبيق ويب.
مع باقاتهم المهنية والمؤسسية ، يمكنك زيادة تعزيز قدرة جدار حماية تطبيق الويب الخاص بك.
BurpSuite - أداة اختبار أمان التطبيق
2. Gobuster
كأداة مفتوحة المصدر يمكن تثبيتها إلى حد كبير على أي نظام تشغيل Linux ، Gobuster هي المفضلة للمجتمع بالنظر إلى أنها مجمعة معKali Linux (نظام تشغيل مخصص للفحص pentesting). يمكن أن يسهل التأثير الغاشم لعناوين URL وأدلة الويب ، بما في ذلك نطاقات DNS الفرعية ومن ثم شعبيتها الكبيرة.
Gobuster - أداة القوة الغاشمة
3. Nikto
Nikto كمنصة pentesting هي آلة أتمتة صالحة لمسح خدمات الويب لأنظمة البرامج القديمة جنبًا إلى جنب مع القدرة على اكتشاف المشكلات التي قد تمر دون أن يلاحظها أحد.
يتم استخدامه غالبًا في اكتشاف التكوينات الخاطئة للبرامج مع القدرة على اكتشاف عدم تناسق الخادم أيضًا. Nikto مفتوح المصدر مع إضافة إضافية لتقليص الثغرات الأمنية التي قد لا تكون على دراية بها في المقام الأول. تعرف على المزيد حول Niko على جيثب الرسمي.
4.
مع وجود أكثر من عقدين من الزمان ، تمكنت Nessus من تكوين مكانة خاصة بها من خلال التركيز بشكل أساسي على تقييم نقاط الضعف من خلال نهج مقصود لممارسة المسح عن بُعد.
مع آلية كشف فعالة ، تستنتج هجومًا يمكن أن يستخدمه مهاجم ضار وينبهك على الفور إلى وجود هذه الثغرة الأمنية.
Nessus متوفر في شكلين مختلفين من أساسيات Nessus (بحد أقصى 16 IPs) و Nessus Professional ضمن تركيزه على تقييم نقاط الضعف.
ماسح نقاط الضعف Nessus
5. Wireshark
بطل الأمن المجهول في كثير من الأحيان ، يتشرف Wireshark بأن يُنظر إليه عمومًا على أنه معيار الصناعة عندما يتعلق الأمر بتعزيز أمان الويب. تقوم بذلك من خلال كونها موجودة في كل مكان في الوظائف.
كمحلل بروتوكول شبكة ،Wiresharkهو وحش مطلق في الأيدي اليمنى. نظرًا لكيفية استخدامها على نطاق واسع في جميع المجالات من حيث الصناعات والمؤسسات وحتى المؤسسات الحكومية ، فلن يكون من الصعب جدًا أن أسميها البطل بلا منازع في هذه القائمة.
ربما حيث يتعثر قليلاً يكون في منحنى التعلم الحاد ، وغالبًا ما يكون هذا هو السبب الذي يجعل الوافدين الجدد في مكان اختبار القلم ينحرفون عادةً نحو خيارات أخرى ولكن أولئك الذين يجرؤون على التعمق في سيأتي اختبار الاختراق حتماً عبر Wireshark في مسار حياتهم المهنية.
Wireshark - أداة تحليل حزم الشبكة.
6. Metasploit
كواحدة من المنصات مفتوحة المصدر في هذه القائمة ، تمتلك Metasploit نظامًا خاصًا بها عندما يتعلق الأمر بمجموعة الميزات التي تتيح تقارير ثغرات متسقة من بين الأشكال الفريدة الأخرى لتعزيز الأمان التي ستتيح نوع البنية الذي ترغب فيه لخادم الويب والتطبيقات. إنه يخدم غالبية المنصات المتاحة ويمكن تخصيصه وفقًا لمحتوى قلبك.
إنها تقدم باستمرار وهذا هو السبب في أنها تستخدم في كثير من الأحيان من قبل مجرمي الإنترنت والمستخدمين الأخلاقيين على حد سواء.يرضي غالبية حالات الاستخدام لكل من التركيبة السكانية. نظرًا لكونه أحد الخيارات الأكثر سرية ، فهو يضمن نوع تقييم الضعف الذي يعلن عنه اللاعبون الآخرون في صناعة مكافحة الإرهاب.
7. BruteX
مع قدر كبير من التأثير في صناعة مكافحة المخدرات ، يعتبر BruteX نوعًا مختلفًا من الحيوانات. إنه يجمع بين قوة Hydra و Nmap و DNSenum ، وكلها أدوات مخصصة لإجراء pentesting في حد ذاتها ولكن مع BruteX يمكنك الاستمتاع بأفضل ما في كل هذه العوالم.
من نافلة القول أنه يقوم بأتمتة العملية بأكملها باستخدام Nmap للمسح مع إجبار توفر خدمة FTP أو خدمة SSH على تأثير أداة القوة الغاشمة متعددة الوظائف التي تقلل بشكل كبير من التزامك بالوقت مع إضافة الاستفادة من كونها مفتوحة المصدر تمامًا أيضًا. تعرف على المزيد هنا!
استنتاج
التعود على استخدام اختبار pentesting لخادمك أو تطبيق الويب الخاص بك أو أي حالة استخدام أخلاقية أخرى يُنظر إليه عمومًا على أنه أحد أفضل الممارسات الأمنية التي يجب أن تدرجها في ترسانتك.
إنه لا يضمن فقط أمانًا مضمونًا لشبكتك ولكنه يمنحك الفرصة لاكتشاف الثغرات الأمنية في نظامك قبل أن يقوم أحد الممثلين الضارين بذلك حتى لا تكون نقاط ضعف ليوم واحد.
تميل المؤسسات الأكبر حجمًا إلى استخدام أدوات اختبار pentesting ، ومع ذلك ، لا يوجد حد لما يمكنك تحقيقه كلاعب صغير شريطة أن تبدأ صغيرًا. إن الاهتمام بالأمن هو الهدف هنا في نهاية المطاف ، ولا يجب أن تأخذ الأمر على محمل الجد بغض النظر عن حجمك كشركة.