पैनेट्रेशन टेस्टिंग ट्यूटोरियल: पेनटेस्ट क्या है?
थॉमस हैमिल्टन
⚡ स्मार्ट सारांश
पेनेट्रेशन टेस्टिंग किसी एप्लिकेशन, नेटवर्क या सिस्टम के खिलाफ वास्तविक हमले का अनुकरण करती है ताकि सुरक्षा टीमें शोषण योग्य कमजोरियों का पता लगा सकें, उनके व्यावसायिक प्रभाव को माप सकें और किसी बाहरी हमलावर द्वारा उन्हीं कमियों का पता लगाने से पहले उन्हें दूर कर सकें।
प्रवेश परीक्षण क्या है?
भेदन परीक्षण या पेन परीक्षण एक प्रकार का है सुरक्षा परीक्षण पेनिट्रेशन टेस्टिंग का उपयोग सॉफ्टवेयर एप्लिकेशन, नेटवर्क या वेब एप्लिकेशन में हमलावर द्वारा उपयोग की जा सकने वाली कमजोरियों, खतरों और जोखिमों को उजागर करने के लिए किया जाता है। इसका उद्देश्य सॉफ्टवेयर एप्लिकेशन में मौजूद सभी संभावित सुरक्षा कमजोरियों की पहचान करना और उनका परीक्षण करना है। पेनिट्रेशन टेस्टिंग को पेन टेस्ट भी कहा जाता है।
नीचे दिया गया आरेख दर्शाता है कि किसी एप्लिकेशन में मौजूद अनसुलझी खामी किस प्रकार हमलावर के प्रवेश द्वार का काम करती है।
सुरक्षा में सेंधमारी वह जोखिम है जिसके द्वारा कोई हमलावर सिस्टम या उसमें मौजूद किसी भी डेटा को बाधित कर सकता है या उस तक अनधिकृत पहुंच प्राप्त कर सकता है। सुरक्षा में सेंधमारी आमतौर पर सॉफ्टवेयर विकास और कार्यान्वयन चरण के दौरान अनजाने में उत्पन्न हो जाती है। सामान्य सुरक्षा में डिज़ाइन त्रुटियां, कॉन्फ़िगरेशन त्रुटियां और सॉफ्टवेयर बग शामिल हैं। भेदन विश्लेषण दो तंत्रों पर निर्भर करता है, अर्थात् सुरक्षा में सेंधमारी का आकलन और भेदन परीक्षण (VAPT)।
VAPT के इन दोनों पहलुओं को अक्सर गलत समझा जाता है। वल्नरेबिलिटी असेसमेंट में बड़े पैमाने पर ज्ञात कमजोरियों की सूची बनाई जाती है और वहीं रुक जाती है, जबकि पेनिट्रेशन टेस्ट में चुनिंदा कमजोरियों का सुरक्षित रूप से उपयोग करके वास्तविक दुनिया में उनके प्रभाव को साबित किया जाता है। इन दोनों को साथ में चलाने से सैद्धांतिक निष्कर्षों और उन निष्कर्षों के बीच अंतर स्पष्ट होता है जो वास्तव में डेटा को खतरे में डालते हैं।
प्रवेश परीक्षण क्यों?
किसी उद्यम में पेनेट्रेशन टेस्टिंग आवश्यक है क्योंकि:
- बैंक, निवेश बैंकिंग और स्टॉक ट्रेडिंग एक्सचेंज जैसे वित्तीय क्षेत्र अपने डेटा की सुरक्षा चाहते हैं, और सुरक्षा सुनिश्चित करने के लिए पेनेट्रेशन टेस्टिंग आवश्यक है।
- यदि सॉफ्टवेयर सिस्टम पहले ही हैक हो चुका है, तो संगठन यह निर्धारित करना चाहता है कि सिस्टम में अभी भी कोई खतरा मौजूद है या नहीं, ताकि भविष्य में हैकिंग से बचा जा सके।
- सक्रिय भेदन परीक्षण हैकरों से बचाव का सबसे अच्छा उपाय है।
- अनुपालन ढांचे इसकी अपेक्षा करते हैं। उदाहरण के लिए, पीसीआई डीएसएस आवश्यकता 11.4 में आंतरिक और बाह्य भेदन परीक्षण को कम से कम वार्षिक रूप से और किसी भी महत्वपूर्ण परिवर्तन के बाद करने का प्रावधान है।
प्रवेश परीक्षण के प्रकार
पेनिट्रेशन टेस्ट का प्रकार आमतौर पर इसके दायरे और इस बात पर निर्भर करता है कि संगठन किसी कर्मचारी या नेटवर्क एडमिन (आंतरिक स्रोत) या बाहरी स्रोतों द्वारा हमले का अनुकरण करना चाहता है या नहीं। पेनिट्रेशन टेस्टिंग तीन प्रकार की होती है, और वे इस प्रकार हैं:
ब्लैक-बॉक्स पेनिट्रेशन टेस्टिंग में, परीक्षक को परीक्षण किए जाने वाले सिस्टम के बारे में कोई जानकारी नहीं होती है। परीक्षक लक्ष्य नेटवर्क या सिस्टम के बारे में जानकारी एकत्र करने के लिए जिम्मेदार होता है।
व्हाइट-बॉक्स पेनिट्रेशन टेस्टिंग में, परीक्षक को आमतौर पर परीक्षण किए जाने वाले नेटवर्क या सिस्टम के बारे में पूरी जानकारी प्रदान की जाती है, जिसमें आईपी एड्रेस स्कीमा, सोर्स कोड और ऑपरेटिंग सिस्टम का विवरण शामिल होता है। इसे संगठन के किसी आंतरिक स्रोत, जैसे कि किसी कर्मचारी द्वारा किए गए हमले का अनुकरण माना जा सकता है।
ग्रे-बॉक्स पेनिट्रेशन टेस्टिंग में, परीक्षक को सिस्टम की आंशिक जानकारी दी जाती है। इसे किसी बाहरी हैकर द्वारा किया गया हमला माना जा सकता है जिसने किसी संगठन के नेटवर्क इंफ्रास्ट्रक्चर दस्तावेजों तक अवैध रूप से पहुंच प्राप्त कर ली हो।
नीचे दी गई तालिका में तीनों को साथ-साथ दिखाया गया है ताकि आप जिस खतरे का मॉडल बनाना चाहते हैं, उसके अनुसार किसी विशेष प्रकार की गतिविधि का चयन कर सकें।
| पहलू | काली Box | सफेद Box | ग्रे Box |
| परीक्षक को दी गई जानकारी | कोई नहीं | पूर्ण विवरण: स्रोत कोड, आईपी स्कीमा, ऑपरेटिंग सिस्टम का विवरण | आंशिक: सीमित प्रमाण पत्र या दस्तावेज़ |
| हमलावर का अनुकरण किया जा रहा है | एक बाहरी व्यक्ति जिसकी कोई पहुंच नहीं है | एक अंदरूनी व्यक्ति या डेवलपर | एक बाहरी व्यक्ति जिसने पहले ही अपनी पकड़ बना ली है |
| खोजबीन में व्यतीत समय | हाई | निम्न | मध्यम |
| कोड बेस का सामान्य कवरेज | केवल वही जो बाहर से पहुंच योग्य है | सबसे गहरा, क्योंकि आंतरिक भाग दिखाई देते हैं | उजागर हुए हमले के मार्ग पर केंद्रित |
पेनेट्रेशन टेस्टिंग कैसे करें
पेनेट्रेशन टेस्ट करने के लिए निम्नलिखित गतिविधियाँ करनी आवश्यक हैं। नीचे दी गई छवि में चारों चरणों का संक्षिप्त विवरण दिया गया है, जिसके बाद प्रत्येक चरण का विस्तार से वर्णन किया गया है।
चरण 1) योजना चरण
- असाइनमेंट का दायरा और रणनीति निर्धारित की जाती है
- मौजूदा सुरक्षा नीतियों और मानकों का उपयोग दायरे को परिभाषित करने के लिए किया जाता है।
चरण 2) खोज चरण
- सिस्टम के बारे में जितनी हो सके उतनी जानकारी इकट्ठा करें, जिसमें सिस्टम में मौजूद डेटा, उपयोगकर्ता नाम और यहां तक कि पासवर्ड भी शामिल हैं। इसे फिंगरप्रिंटिंग भी कहा जाता है।
- पोर्ट्स को स्कैन करें और उनकी जांच करें
- सिस्टम की कमजोरियों की जाँच करें
चरण 3) आक्रमण चरण
- विभिन्न कमजोरियों का फायदा उठाने के तरीके खोजें। सिस्टम का फायदा उठाने के लिए आपको आवश्यक सुरक्षा विशेषाधिकारों की आवश्यकता होगी।
चरण 4) रिपोर्टिंग चरण
- रिपोर्ट में विस्तृत निष्कर्ष शामिल होने चाहिए
- पाई गई कमजोरियों के जोखिम और व्यापार पर उनका प्रभाव
- सिफारिशें और समाधान, यदि कोई हो
पेनेट्रेशन टेस्टिंग का मुख्य कार्य सिस्टम की जानकारी एकत्र करना है। जानकारी एकत्र करने के दो तरीके हैं:
- होस्ट के संबंध में 'वन टू वन' या 'वन टू मेनी' मॉडल: एक परीक्षक एक लक्ष्य होस्ट या एक तार्किक समूह के विरुद्ध रैखिक तरीके से तकनीकों का निष्पादन करता है।ping लक्ष्य होस्टों का (उदाहरण के लिए एक सबनेट)।
- 'मेनी टू वन' या 'मेनी टू मेनी' मॉडल: परीक्षक यादृच्छिक, दर-सीमित और गैर-रैखिक तरीके से सूचना एकत्र करने की तकनीकों को निष्पादित करने के लिए कई होस्ट का उपयोग करता है।
पैनेट्रेशन परीक्षण उपकरणों के उदाहरण
पेनेट्रेशन टेस्टिंग में कई तरह के उपकरण इस्तेमाल किए जाते हैं, और महत्वपूर्ण पेनटेस्ट उपकरण यह है:
1) Teramind
Teramind अंदरूनी खतरे की रोकथाम और कर्मचारी निगरानी के लिए एक व्यापक सूट प्रदान करता है। यह व्यवहार विश्लेषण और डेटा हानि रोकथाम के माध्यम से सुरक्षा को बढ़ाता है, अनुपालन सुनिश्चित करता है और व्यावसायिक प्रक्रियाओं को अनुकूलित करता है। इसका अनुकूलन योग्य प्लेटफ़ॉर्म विभिन्न संगठनात्मक आवश्यकताओं के अनुरूप है, जो उत्पादकता बढ़ाने और डेटा अखंडता की सुरक्षा पर ध्यान केंद्रित करने वाली कार्रवाई योग्य अंतर्दृष्टि प्रदान करता है।
विशेषताएं:
- आंतरिक खतरे की रोकथाम: डेटा के लिए आंतरिक खतरे का संकेत देने वाली उपयोगकर्ता गतिविधियों का पता लगाता है और उन्हें रोकता है।
- व्यावसायिक प्रक्रिया अनुकूलन: परिचालन प्रक्रियाओं को पुनर्परिभाषित करने के लिए डेटा-संचालित व्यवहार विश्लेषण का उपयोग करता है।
- कार्यबल उत्पादकता: कार्यबल की उत्पादकता, सुरक्षा और अनुपालन संबंधी व्यवहारों की निगरानी करता है।
- अनुपालन प्रबंधन: यह एक एकल, स्केलेबल समाधान के साथ अनुपालन प्रबंधन में मदद करता है जो छोटे व्यवसायों, उद्यमों और सरकारी एजेंसियों के लिए उपयुक्त है।
- घटना संबंधी फोरेंसिक विश्लेषण: घटना की प्रतिक्रिया, जांच और खतरे की खुफिया जानकारी को समृद्ध करने के लिए साक्ष्य प्रदान करता है।
- डेटा हानि रोकथाम: संवेदनशील डेटा के संभावित नुकसान की निगरानी करता है और उससे सुरक्षा प्रदान करता है।
- कर्मचारी निगरानी: कर्मचारियों के प्रदर्शन और गतिविधियों की निगरानी करने की क्षमता प्रदान करता है।
- व्यवहार विश्लेषण: गहन जानकारी प्राप्त करने के लिए ग्राहक ऐप व्यवहार डेटा का विस्तृत विश्लेषण करता है।
- अनुकूलन योग्य निगरानी सेटिंग्स: विशिष्ट उपयोग मामलों के अनुरूप या पूर्वनिर्धारित नियमों को लागू करने के लिए निगरानी सेटिंग्स को अनुकूलित करने की अनुमति देता है।
- डैशबोर्ड इनसाइट्स: एक व्यापक डैशबोर्ड के माध्यम से कार्यबल की गतिविधियों में स्पष्टता और कार्रवाई योग्य अंतर्दृष्टि प्रदान करता है।
- Nmap – इस टूल का उपयोग पोर्ट स्कैनिंग, ऑपरेटिंग सिस्टम की पहचान आदि के लिए किया जाता है। tracमार्ग और भेद्यता स्कैनिंग।
- Nessus – यह एक पारंपरिक नेटवर्क-आधारित सुरक्षा कमजोरियों का पता लगाने वाला उपकरण है।
- पास-द-हैश - यह टूल मुख्य रूप से पासवर्ड क्रैकिंग के लिए उपयोग किया जाता है।
पेनेट्रेशन परीक्षकों की भूमिका और जिम्मेदारियाँ
पेनिट्रेशन टेस्टर का काम यह है:
- पेनेट्रेशन टेस्ट करने के लिए संगठन से आवश्यक जानकारी एकत्र करें।
- उन खामियों का पता लगाएं जो हैकर्स को लक्ष्य मशीन पर हमला करने की अनुमति दे सकती हैं
- नैतिक रूप से सही रहते हुए, असली हैकर्स की तरह सोचें और काम करें।
- कार्य को पुनरुत्पादनीय बनाएं, ताकि डेवलपर्स के लिए इसे ठीक करना आसान हो जाए।
- परीक्षण शुरू होने और समाप्त होने की तारीख पहले से तय कर लें।
- इस दौरान सिस्टम या सूचना में किसी भी प्रकार की हानि की जिम्मेदारी लें। सॉफ्टवेयर परिक्षण
- डेटा और जानकारी को गोपनीय रखें।
मैनुअल पेनिट्रेशन टेस्टिंग बनाम ऑटोमेटेड पेनिट्रेशन टेस्टिंग
अधिकांश वास्तविक कार्यों में दोनों दृष्टिकोणों का मिश्रण देखने को मिलता है। नीचे दी गई तुलना दर्शाती है कि प्रत्येक दृष्टिकोण किस स्थान पर उपयुक्त है।
| मैनुअल पेनेट्रेशन परीक्षण | स्वचालित प्रवेश परीक्षण |
| मैनुअल परीक्षण परीक्षण चलाने के लिए विशेषज्ञ पेशेवरों की आवश्यकता होती है | स्वचालित परीक्षण उपकरण कम अनुभवी पेशेवरों के साथ स्पष्ट रिपोर्ट प्रदान करते हैं |
| मैन्युअल परीक्षण के लिए एक्सेल और अन्य उपकरणों की आवश्यकता होती है। tracके इट | स्वचालन परीक्षण केंद्रीकृत और मानक उपकरण हैं |
| मैनुअल परीक्षण में, नमूना परिणाम परीक्षण दर परीक्षण भिन्न होते हैं | स्वचालित परीक्षणों के मामले में, परिणाम परीक्षण दर परीक्षण भिन्न नहीं होते हैं |
| मेमोरी की सफाई के बारे में उपयोगकर्ताओं को याद रखना चाहिए। | स्वचालित परीक्षण में व्यापक सफाई होगी। |
पेनेट्रेशन परीक्षण के नुकसान
पेनेट्रेशन टेस्टिंग से सिस्टम की सभी कमजोरियों का पता नहीं लगाया जा सकता। इसमें समय, बजट, कार्यक्षेत्र और पेनेट्रेशन टेस्टर्स के कौशल की सीमाएं होती हैं।
पेनिट्रेशन टेस्टिंग करते समय निम्नलिखित दुष्प्रभाव हो सकते हैं:
- डेटा हानि और भ्रष्टाचार
- नीचे समय
- लागत में वृद्धि
नीचे दिए गए इन्फोग्राफिक में इन्हीं लाभों और हानियों को संक्षेप में बताया गया है, साथ ही उन कारणों को भी दर्शाया गया है जिनकी वजह से संगठन फिर भी यह परीक्षण करते हैं।
इन सीमाओं के कारण ही पेनिट्रेशन टेस्ट किसी सुव्यवस्थित सुरक्षा नीति के स्थान पर नहीं, बल्कि उसके ऊपर ही बेहतर काम करता है। परीक्षकों को वास्तविक हैकर्स की तरह व्यवहार करना चाहिए, यह जांचना चाहिए कि कोड सुरक्षित रूप से लिखा गया है या नहीं, और निर्धारित समय-सारणी के अनुसार इस प्रक्रिया को दोहराना चाहिए।
