در حال بارگذاری...
فعالیت‌های امنیتی قبل از انتشار برنامه: تست نفوذ، تست پذیرش، بررسی پیکربندی و تأیید امنیت.
اهداف این درس
فاز ۴ از چارچوب تست امنیت وب OWASP شامل فعالیت‌های امنیتی است که قبل از انتشار برنامه به محیط عملیاتی انجام می‌شوند. این فاز آخرین فرصت برای شناسایی و رفع آسیب‌پذیری‌ها قبل از دسترسی کاربران واقعی است.
تست نفوذ (Penetration Testing) شبیه‌سازی حمله واقعی به برنامه با هدف شناسایی آسیب‌پذیری‌ها قبل از اینکه مهاجمان واقعی از آن‌ها سوءاستفاده کنند. این تست باید توسط متخصصان مجرب و با مجوز کتبی انجام شود.
بررسی پیکربندی (Configuration Review) فرآیند بررسی تنظیمات سرور، فایروال، پایگاه داده و برنامه از نظر امنیتی است. بسیاری از حملات موفق از پیکربندی‌های نادرست سوءاستفاده می‌کنند.
| حوزه | بررسی | ریسک |
|---|---|---|
| سرور وب | حذف صفحات پیش‌فرض | اطلاعات‌دهی به مهاجم |
| پایگاه داده | تغییر رمزهای پیش‌فرض | دسترسی غیرمجاز |
| فایروال | بستن پورت‌های غیرضروری | حمله به سرویس‌های اضافی |
| SSL/TLS | استفاده از پروتکل‌های امن | شنود ارتباطات |
| لاگ‌نویسی | فعال‌سازی لاگ‌های امنیتی | عدم شناسایی حملات |
تست پذیرش امنیتی (Security Acceptance Testing) فرآیند بررسی انطباق برنامه با الزامات امنیتی تعریف‌شده در فاز ۲ است. این تست تضمین می‌کند که تمام الزامات امنیتی برآورده شده‌اند.
گزارش نهایی فاز ۴ باید شامل خلاصه‌ای از تمام فعالیت‌های امنیتی انجام‌شده، آسیب‌پذیری‌های شناسایی‌شده، وضعیت رفع آن‌ها و توصیه‌های نهایی باشد. این گزارش باید قبل از انتشار تأیید شود.
هشدار جدی
هرگز برنامه‌ای که تست نفوذ نشده را به محیط عملیاتی منتشر نکنید. این کار ریسک امنیتی بسیار بالایی دارد و می‌تواند منجر به نقض داده‌ها شود.
توصیه عملی
تست نفوذ را به‌صورت منظم (حداقل سالانه) تکرار کنید. تهدیدات امنیتی مداوم در حال تغییر هستند و تست یک‌باره کافی نیست.
تست نفوذ باید قبل از انتشار انجام شود.
بررسی پیکربندی سرور و برنامه ضروری است.
معیارهای پذیرش امنیتی باید مشخص باشند.
هرگز برنامه‌ای که تست نشده را منتشر نکنید.
کدام فعالیت در فاز ۴ (استقرار) انجام می‌شود؟
چه فعالیت‌های امنیتی باید قبل از انتشار برنامه انجام شود؟
قبل از انتشار باید: ۱) تست نفوذ کامل انجام شود، ۲) پیکربندی سرور و برنامه بررسی شود، ۳) تست پذیرش امنیتی انجام شود، ۴) معیارهای پذیرش بررسی شود، ۵) گزارش نهایی تهیه شود.