إجراء اختبار أمني شامل لشركة بحث وتطوير في مجال الكهرومغناطيسية

العميل

شركة بحث وتطوير (R&D)، لديها 35 عامًا من الخبرة في ابتكار الحلول الكهرومغناطيسية والصوتية للاستخدامات العسكرية والتجارية.

الحاجة إلى إجراء اختبار أمني شامل لتعزيز الحماية السيبرانية

كانت شركة العميل تحتاج إلى إجراء اختبار أمني شامل لتطبيقاتها وشبكتها واسعة النطاق. وقد منحت الشركة ثقتها لخبرة ساينس سوفت الممتدة منذ 21 عامًا في مجال الأمن السيبراني، وكلَّفت فريقنا بتنفيذ المشروع.

اختبار 500 عنوان IP، وتطبيق ويب، و50 بريدًا إلكترونيًا في 7 أيام

إجراء اختبار الاختراق بطريقتي الصندوق الأسود والرمادي

أجرى خبراؤنا اختبار الاختراق للمكونات المستهدفة وفقًا لأفضل الممارسات المحددة في معيار تنفيذ اختبار الاختراق (PTES)، ودليل اختبار أمن الويب لمشروع أمان تطبيقات الويب ذات المصدر المفتوح (OWASP Web Security Testing Guide)، ومنهجيات المعهد الوطني للمعايير والتكنولوجيا (NIST 800-115)، كما صنَّفوا المشكلات المكتشفة وفقًا لمعايير تصنيف التهديدات الأمنية الصادرة من مؤسسة OWASP لأعلى 10 مخاطر أمنية لتطبيقات الويب، ونظام تسجيل نقاط الضعف المشتركة التابع للمعهد الوطني للمعايير والتكنولوجيا (NIST CVSS).

بدأ فريقنا المشروع بإجراء اختبار خارجي للتطبيق والشبكة العامة التي تتألف من 5 عناوين IP. كما أجرى خبراؤنا تقييمًا شاملًا للثغرات الأمنية باستخدام مزيج من أدوات الفحص الآلية واليدوية لضمان التغطية الشاملة للمكونات المستهدفة دون أي وجود نتائج خاطئة. بعد ذلك، وأثناء اختبار الصندوق الأسود (black box)، حاول فريقنا استغلال الثغرات الأمنية المكتشفة لتقييم تأثيرها المحتمل. ونتيجة لذلك، رصد خبراؤنا مشكلتين بمستوى خطورة منخفض في تطبيق الويب، وهما:

• عدم وجود عناوين بروتوكول HTTP الأمنية التي تحمي من هجمات الوسيط (Man in the Middle)، والنقر الخداعي (clickjacking)، والبرمجة النصية عبر المواقع (XSS)، وغيرها من الهجمات السيبرانية الشائعة.
• استخدام إصدارات قديمة غير آمنة من خادم الويب NGINX، ومكتبة جافا سكريبت JQuery، وإطار العمل Bootstrap، وغيرها من البرمجيات، ما يتيح إمكانية التعرض لمخاطر تسرب الذاكرة، وتنفيذ التعليمات البرمجية غير الموثوقة، وهجمات البرمجة النصية عبر المواقع (XSS).

في المرحلة التالية، أجرى فريقنا اختبار اختراق داخلي لشبكة العميل الخاصة التي تضم 495 عنوان IP. وقد اتبع فريقنا نهج الصندوق الرمادي (gray box) في الاختبار، لمحاكاة تصرفات المهاجمين بصلاحيات وصول المستخدم إلى المكونات المستهدفة. ونتيجة لذلك، رصد خبراؤنا 4 مشكلات منخفضة الخطورة، وهي:

• استخدام إصدارات قديمة غير آمنة من مجموعة أدوات OpenSH، ونظام MySQL، وخادم Apache HTTP Server، وغيرها من البرمجيات، ما يتيح إمكانية التعرض للهجمات السيبرانية مثل، هجمات حجب الخدمة (DoS)، والتلاعب بطلبات بروتوكول HTTP (Request Smuggling).
• استخدام إصدارات غير آمنة من بروتوكول TLS 1.0 وTLS 1.1 المدعومة بالعديد من الخدمات عن بُعد، ما قد يتيح للمهاجمين الكشف عن المعلومات.
• إمكانية الوصول إلى خادم بروتوكول نقل الملفات (FTP) دون بيانات اعتماد، ما يتيح للمهاجمين إمكانية استخدامه للوصول إلى البيانات الحساسة أو تسهيل هجوم حجب الخدمة (DoS).
• التشفير الضعيف للبيانات، ما يتيح إمكانية التعرض لهجمات الوسيط (MitM) على اتصالات بروتوكول النقل الآمن (SSH) وبروتوكول أمان طبقة النقل (TLS)، ويؤدي إلى تسرب البيانات الحساسة نتيجة لذلك (مثل: مفاتيح الجلسات، ورسائل الجلسات، وملفات تعريف الارتباط ببروتوكول HTTPS).

أثبت اختبار الاختراق أن تطبيق الويب والشبكات لدى شركة العميل تتمتع بمستوى عالٍ من الأمان، كما رصد عدد قليل من نقاط الضعف غير الحرجة. ولمعالجة هذه النقاط الضعف وتعزيز الدفاع السيبراني، اقترح خبراؤنا التدابير التصحيحية الآتية:

• إضافة وضبط إعدادات العناوين الأمنية المفقودة، مثل Strict-Transport-Security، وContent Security Policy.
• تحديث البرمجيات القديمة غير الآمنة إلى أحدث إصدارتها، وإخفاء إصدارات البرمجيات.
• تنفيذ تدابير الحماية من هجمات القوة الغاشمة (brute force)، مثل إضافة رموز التحقق (CAPTCHA)، وفرض حد أقصى لعدد محاولات تسجيل الدخول الفاشلة.

بعد أن نفَّذ فريق العميل الإصلاحات المُقترحة، أعاد خبراؤنا اختبار التطبيق مرة أخرى، وتأكدوا من نجاح معالجة الثغرات المكتشفة بالكامل.

إجراء اختبارات الهندسة الاجتماعية

استنادًا إلى المعلومات المتاحة للجمهور حول شركة العميل، تمكّن خبراؤنا من أعداد وتنفيذ العديد من سيناريوهات هجمات التصيد الاحتيالي على 50 عنوان بريد إلكتروني للشركة. حيث أرسل فريقنا رسائل بريد إلكتروني تحتوي على عناوين URL ضارة (لمعرفة ما إذا كان المستخدم قد نقر على الرابط)، وملفات قابلة للتنفيذ (لمعرفة ما إذا كان المستخدم قد قام بتنزيلها وتثبيتها)، بالإضافة إلى دعوات ونماذج وهمية. مع ذلك، اتَّبع موظفو العميل احتياطات السلامة، وتجاهلوا رسائل البريد الإلكتروني الاحتيالية.

ترسيخ الثقة في الأمان المُعزَّز ووعي الموظفين

أجرى خبراء ساينس سوفت اختبار الاختراق بطريقتي الصندوق الرمادي والصندوق الأسود لـ500 عنوان IP وتطبيق ويب، وأكَّد الاختبار الكفاءة العالية للضوابط الأمنية لدى شركة العميل، وقدَّم أفكارًا قيِّمة لكيفية تنفيذ المزيد من تحسينات الأمان. كما أثبتت محاكاة الهندسة الاجتماعية لـ50 عنوان بريد إلكتروني المستوى العالي لوعي الموظفين بتدابير الأمن السيبراني.

بفضل استخدامنا مزيجًا مثاليًا من الاختبارات اليدوية والآلية، تمكن فريقنا من تقييم الثغرات الأمنية وإجراء اختبارات الاختراق والهندسة الاجتماعية في 7 أيام فقط. وقد مكَّنت التوصيات المُفصَّلة التي قدمها خبراؤنا للعميل من معالجة الثغرات الأمنية غير الحرجة التي تم اكتشافها بسرعة، كما مكَّنته من اكتساب الثقة الكاملة في قدرة تطبيق الويب والشبكة على مواجهة التهديدات السيبرانية.

التقنيات والأدوات

Nessus, Acunetix, Burp Suite, Nmap, SSLScan, DirB, CrackMapExec, smbclient, SSHscan, ldapsearch, NBTscan, rpcclient, SMBMap, PHP, Bash, Python, Powershell.