روش یکپارچه سازی خروجی تست نفوذپذیری در قالب فرآیند ارزیابی ریسک امنیت اطلاعات

در دنیای امروزی که عصر حملات مجازی و نفوذ هکرها به سیستم های اطلاعاتی می باشد، مدیریت ریسک امنیت اطلاعات یکی از نگرانی های اصلی سازمان ها به شمار می رود. با افزایش مخاطرات بالقوه، سرمایه گذاری در خدمات امنیتی و حفاظت اطلاعات، رشد یافته و یک مسئله اقتصادی مهم برای سازمان ها محسوب می گردد. بدین منظور، در این مقاله ابتدا به تشریح مدیریت ریسک بر مبنای استاندارد ISO/IEC 27005 پرداخته و سپس اقدامات لازم جهت بررسی نتایجی تست نفوذ پذیری در مدیریت ریسک مورد بررسی قرار گرفته می شود.

امروزه بسیاری از سازمان ها به این نتیجه رسیده اند که مدیریت ریسک بخش جدا نشدنی در موفقیت یک پروژه است و فرآیندی محسوب می گردد که به شناسایی زود هنگام مشکلات احتمالی و در نتیجه انجام اقدامات لازم جهت جلوگیری از تبدیل آن ها به مشکلات و مسائل واقعی در آینده پروژه کمک می نماید.

دسته بندی دارایی های اطلاعاتی

به طور کلی هر چیزی که از منظر اطلاعات برای سازمان دارای ارزش باشد، به عنوان یک دارایی محسوب می شود. بنابراین قبل از شروع به ارزیابی ریسک، می بایست ابتدا دارایی های اطلاعاتی را شناسایی، سپس دسته بندی و ارزشگذاری نمایید. بنابراین می توان دارایی های اطلاعاتی را با توجه به نوع، جنس، ماهیت و غیره مطابق شکل 1 به دسته زیر طبقه بندی نمایید.

شکل 1: دسته بندی دارایی های اطلاعات

البته لازم به ذکر می باشد این دسته بندی با توجه به حوزه فعالیت کسب و کار سازمان و اندازه سازمان قابل تغییر می باشد.

مدیریت ریسک

موسسه ملی فناوری و استاندارها (NIST) مدیریت ریسک را به‌طور کلی به سه دسته زیر تقسیم می­نماید:

1. فرایند شناسایی ریسک؛
2. ارزیابی ریسک؛
3. مقابله با ریسک

 NIST ارزیابی ریسک را به‌صورت فرایند شناسایی، تخمین و اولویت‌بندی ریسک‌های امنیت اطلاعات تعریف می‌کند که نیازمند تحلیل دقیقی از تهدیدها و اطلاعات آسیب‌پذیری برای تعیین میزانی است که در آن شرایط یا رویدادها می‌توانستند تأثیر معکوسی بر سازمان و احتمال اینکه چنین شرایط یا رویدادهایی رخ دهند، داشته باشند.

در شکل 2 فرآیند کلی مدیریت ریسک به طور کامل نمایش داده شده است.

شکل 2: مدیریت ریسک

فرآیند ارزیابی ریسک از مجموعه فعالیت های مدیریت ریسک است. این فرآیند حیاتی جایگاه ویژه ای در سیستم مدیریت امنیت اطلاعات (ISMS) دارد و  تست نفوذ پذیری (Penetration Testing) که از فعالیت های مهم نفوذ گران است، جزیی از فرآیند ارزیابی ریسک به شمار می‌آید.

فرآیند شناسایی ریسک  

در این مرحله افراد تیم مدیریت ریسک در جلسه­ای کلیه آسیب­پذیری ها  و تهدیدات احتمالی بر روی یک دارایی اطلاعاتی را شناسایی می نمایند. به طور کلی در این جلسه کلیه ضعف های امنیتی موجود که ممکن است توسط یک مبدا تهدید مورد استفاده قرار بگیرد و سپس منجر به پیامد به دارایی ها و مختل نمودن فعالیت دارایی اطلاعاتی مربوطه گردد، شناسایی می شود. بنابراین می توان آسیب پذیری های شناسایی شده را به سه دسته کلی تقسیم نمایید:

1. آسیب پذیری های فرآیندی و مدیریتی
2. آسیب پذیری های فیزیکی و محیطی
3. آسیب پذیری های فنی

آسیب پذیری های دسته اول و دوم از طریق مشاهده و مصاحبه شناسایی خواهند شد، اما جهت شناسایی آسیب پذیری های دسته سوم می بایست تست نفوذ پذیری توسط افراد تیم تست نفوذ صورت پذیرد و سپس با توجه به IP گزارش شده از نتایج تست نفوذ، دارایی مورد نظر را شناسایی و آسیب پذیری مورد نظر به آن اختصاص داده شود. آسیب پذیری های فنی برای دارایی هایی نظیر سیستم عامل ها و سرویس ها امکان پذیر است.

مرحله بعد از شناسایی آسیب پذیری ها، شناسایی تهدیدات می باشد. در این مرحله با توجه به آسیب پذیری های شناسایی شده می بایست از طریق جلسات مصاحبه و مشاهده وضعیت موجود تهدیدات مورد نظر را شناسایی نمایید. 

لازم به ذکر می باشد برگزاری این جلسات روش بسیار مناسبی برای شناسایی ریسک ها است زیرا افراد، وادار به تفکر و به اشتراک گذاشتن تجربیات خود در شرایط مختلف می شوند، همچنین می بایست به خاطر داشته باشند که تنها در یک جلسه این شناسایی به اتمام نمی رسد، بنابراین در این جلسات جهت شناسایی ریسک بهتر است از عبارت اگر – آنگاه استفاده شود. مثلا اگر شرایط این بود آنگاه پیامدهایش این خواهد بود.

  ارزیابی ریسک

به طور کلی در این مرحله دارایی های اطلاعاتی از قبل دسته بندی شده و مطابق با هر دسته، آسیب پذیری ها و تهدیدات به آن ها اختصاص داده شده است و سپس ریسک می بایست براساس احتمال وقوه و پیامدهای احتمالی، ارزیابی شوند.

جهت ارزیابی ریسک می بایست ابتدا آسیب پذیری را بر روی هر دارایی ارزش گذاری نمایید. هر آسیب پذیری شناخته شده، سه سطح زیر را به خود اختصاص می دهد.

1. کم: این سطح آسیب پذیری جدی نسیت و فقط توسط افراد متخصص و خبره قابل استفاده می باشد.
2. متوسط: این سطح آسیب پذیری توسط افراد نیمه حرفه ای و افرادی که دارای تجربه و دانش متوسطی هستند قابل سوء استفاده می باشد.
3. زیاد: این سطح از آسیب پذیری به راحتی و حتی توسط افرادی که دارای دانش کمی می باشند قابل سوء استفاده است.

مرحله بعد از ارزش گذاری آسیب پذیری ها، بررسی احتمال وقوع تهدیدات می باشد. در این مرحله با توجه به آسیب پذیری و تهدیداتی که برای هر دسته از دارایی های اطلاعاتی در نظر گرفته شده است می بایست با توجه به نظرات افراد خبره، کارشناسان امنیت، مصاحبه با مالک یا سرپرست دارایی فعلی احتمال وقوع تهدید را محاسبه نمایید. 

در زمان ارزیابی ریسک دسته سیستم عامل ها و سرویس ها علاوه بر در نظر گرفتن آسیب پذیری هایی که از طریق مشاهده و مصاحبه به دست آمده است می بایست نتایج حاصل از تست نفوذ پذیری که توسط تیم تست نفوذ بر روی سیستم عامل ها و سرویس که از طریق اسکن آسیب پذیری ها بدست آمده است، در نظر گرفته شود، زیرا در تست نفوذ پذیری علاوه بر شناسایی نقاط آسیب پذیر می تواند چگونگی سوء استفاده از شبکه و همچنین نحوه استفاده نفوذ گران از چندین آسیب پذیری جزئی برای تهدید کردن شبکه را بدست آورید. این نتایج را می بایست از تیم تست نفوذ اخذ نموده و مطابق مرحله اول (شناسایی ریسک) آن ها را به صورت اگر – آنگاه شناسایی و سپس ارزیابی نمایید.

البته لازم به ذکر می باشد انجام فرآیند تست نفوذ توسط نرم افزارهای اسکن آسیب پذیری صورت می پذیرد، آسیب پذیری هایی که در این نرم افزارها به عنوان یک پایگاه وجود دارد به روش CVE شناسه گذاری شده اند به عبارتی دیگر CVE یک روش شناسه گذاری عمومی است که توسط نرافزار های تجاری و متن باز پذیرفته شده است و توسعه دهندگان نرم افرازی این شیوه ی کد گذاری آسیب پذیری ها را روشی ثابت می دانند. هدف CVE آسان سازی در به اشتراک گذاری داده بین ابزارها و سرویس ها با نامگذاری مشترک می باشد. با این حال واژه ی دیگری با نام CVSS در این حوزه وجود دارد، با این تفاوت که CVSS یک سیستم امتیاز دهی آسیب پذیری عمومی و مشترک است که به توسعه دهنده ی خاصی بستگی ندارد و از استاندار باز پیروی می کند. CVSS برای اطلاع از شدت آسیب پذیری و کمک به مشخص کردن اضطراری بودن و اولویت دهی برای پاسخ به آسیب پذیری ها ایجاد شده است. بنابراین خروجی مورد نظر شدت و ریسک آسیب پذیری مورد نظر را به کاربر نمایش می دهد.

بنابراین برای دارایی هایی که در دسته سیستم عامل ها و سرویس ها قرار می گیرند علاوه بر آسیب پذیری های مشترک، آسیب پذیری های فنی که همان خروجی های تست نفوذپذیری می باشد می بایست مورد بررسی قرار گیرد، که این امر نتایج ارزیابی ریسک را دقیق تر می نماید، همچنین نتایج ارزایابی ریسک می بایست تکرارپذیر، قابل مقایسه و قابل فهم باشد.

در نتیجه مقدار ریسک هر دارایی به صورت زیر محاسبه می شود.

پیامد+ آسیب پذیری+ تهدید= ریسک

مقابله با ریسک

به منظور برخورد با ریسک بدست آمده در مراحل قبل می بایست مطابق یکی از استراتژی های زیر عمل نمائید:

1. کاهش: که به معنای ایجاد طرح هایی عملیاتی برای کاهش احتمال ریسک و پیامد های آن است.
2. اجتناب: که به معنای ایجاد تغییر در چیزی برای اجتناب کامل از ریسک می باشد برای مثال ایجاد تغییر در طرح برای اجتناب کامل از یک ریسک
3. پذیرش: در این روش بدون ایجاد طرح های کاهشی، احتمال وجود ریسک را می پذیرند، که ممکن است یکی از دلایل آن هزینه طرح کاهشی می باشد.
4. انتقال: که به معنای انتقال و واگذاری ریسک به گروه دیگری می باشد. مثل خرید بیمه

در بسیاری از سازمان ها جهت برخورد با ریسک بدست آمده از استراتژی کاهش ریسک استفاده می شود تا ریسک دارایی به سطحی قابل‌قبول از نظر مالک ریسک آن دارایی رسانده شود.

در انتها جهت کاهش ریسک به سطوح قابل قبول می بایست برنامه مقابله با ریسک با توجه به مواردی که در مرحله های قبل مورد بررسی قرار گرفته است تدوین شود که به طور کلی این برنامه می تواند به سه شکل تدوین شود:

1. آموزش و آگاهی رسانی به کارکنان
2. طرح فنی (به عنوان مثال طرح امنیت فیزیکی، طرح امنیت شبکه و غیره)
3. سیاست و رویه، روش اجرایی و دستورالعمل های امنیتی

لازم به ذکر می باشد در خصوص هر یک از موارد ذکر شده می بایست منابع و زمان اجرا تعیین شود.

در نتیجه مهم ترین فایده مدیریت ریسک، کمک به تصمیم گیری صحیح برای انتخاب راه حل های امنیتی است. طبعاً مدیران وقت و حوصله ورود به جزئیات فوق را ندارند، لذا خروجی ارائه شده به آن ها توسط افراد مسئول انجام ارزیابی شامل اعداد، ارقام و نمودارهای است که به تصمیم گیری آن ها کمک می‌کند. ارزیابی ریسک و انجام تست نفوذ پذیری می‌تواند لزوم هزینه کردن برای امنیت را به تصمیم گیران سازمان اثبات ‌کند. نتایج ارزیابی ریسک به جهت گیری صحیح در انتخاب راه حل ها کمک می‌کند.