در حال بارگذاری...
آشنایی با تکنیک‌های مختلف تست امنیت وب شامل تست جعبه سفید، جعبه سیاه و جعبه خاکستری.
اهداف این درس
تست امنیت وب بر اساس میزان اطلاعات تستر از سیستم هدف، به سه دسته اصلی تقسیم می‌شود. هر رویکرد مزایا و معایب خاص خود را دارد و در شرایط مختلف استفاده می‌شود.
در تست جعبه سیاه، تستر هیچ اطلاعاتی از سیستم داخلی ندارد. این رویکرد شبیه‌سازی یک حمله واقعی از بیرون است. تستر فقط با مشاهده رفتار برنامه، آسیب‌پذیری‌ها را شناسایی می‌کند.
| مزایا | معایب |
|---|---|
| شبیه‌سازی حمله واقعی | پوشش محدودتر |
| نیاز به دانش داخلی ندارد | زمان‌برتر |
| واقع‌بینانه‌تر | ممکن است بخش‌هایی نادیده گرفته شود |
در تست جعبه سفید، تستر به تمام اطلاعات شامل کد منبع، معماری، مستندات و دسترسی‌های مدیریتی دسترسی دارد. این رویکرد بیشترین پوشش را فراهم می‌کند اما زمان و هزینه بیشتری نیاز دارد.
تست جعبه خاکستری ترکیبی از دو رویکرد قبلی است. تستر اطلاعات محدودی از سیستم دارد (مثل حساب کاربری عادی یا مستندات جزئی). این رویکرد تعادل خوبی بین واقع‌گرایی و پوشش ایجاد می‌کند.
مقایسه سه رویکرد تست
| ویژگی | جعبه سیاه | جعبه سفید | جعبه خاکستری |
|---|---|---|---|
| اطلاعات تستر | هیچ | کامل | محدود |
| پوشش | محدود | کامل | متوسط |
| واقع‌گرایی | بالا | پایین | متوسط |
| زمان | کم | زیاد | متوسط |
| هزینه | کم | زیاد | متوسط |
انتخاب رویکرد تست بستگی به هدف، بودجه، زمان و سطح دسترسی شما دارد. در بسیاری از پروژه‌ها، ترکیبی از رویکردها استفاده می‌شود تا بهترین نتیجه حاصل شود.
توصیه عملی
برای تست جامع، ابتدا با جعبه سیاه شروع کنید تا دید مهاجم را داشته باشید، سپس با جعبه خاکستری عمق بیشتری پیدا کنید و در نهایت با جعبه سفید بخش‌های باقی‌مانده را پوشش دهید.
جعبه سیاه شبیه‌سازی حمله واقعی است
جعبه سفید بیشترین پوشش را فراهم می‌کند
جعبه خاکستری تعادل بین دو رویکرد است
در تست جعبه سیاه، تستر چه اطلاعاتی از سیستم دارد؟
تفاوت تست جعبه سیاه و جعبه سفید چیست؟
در تست جعبه سیاه، تستر هیچ اطلاعاتی از سیستم داخلی ندارد و مثل یک مهاجم واقعی عمل می‌کند. در تست جعبه سفید، تستر به کد منبع، معماری و مستندات دسترسی دارد و می‌تواند عمیق‌تر تست کند.