پینیٹریشن ٹیسٹنگ کمپیوٹر سسٹم، ویب ایپلیکیشن اور نیٹ ورک کی حفاظتی کمزوریوں کو تلاش کرنے کے لیے ٹیسٹنگ ہے جسے حملہ آور استعمال کر سکتا ہے۔ اس قسم کی جانچ ہو سکتی ہے۔ خودکار یا دستی طور پر انجام دیا. اس عمل میں ٹیسٹنگ سے پہلے ہدف کے بارے میں معلومات اکٹھا کرنا، داخلے کے ممکنہ مقامات کی نشاندہی کرنا، ورچوئل یا حقیقی میں داخل ہونے کی کوشش کرنا، اور نتائج کو واپس رپورٹ کرنا شامل ہے۔
قلمی ٹیسٹ کا بنیادی مقصد کسی تنظیم کی حفاظتی پوزیشن میں کمزور مقامات کی نشاندہی کرنا ہے، ساتھ ہی سیکیورٹی پالیسی کی قبولیت کی پیمائش کرنا، سیکیورٹی کے بارے میں آگاہی کی جانچ کرنا اور یہ طے کرنا ہے کہ آیا تنظیم سیکیورٹی آفات کا شکار ہوگی۔
TO دخول ٹیسٹ کمپنی کی کمزوریوں کو بھی اجاگر کرتا ہے۔ سیکورٹی پالیسیاں.
وہ رپورٹس جو دخول ٹیسٹ سے تیار ہوتی ہیں رائے فراہم کرتی ہیں۔ رپورٹس ایپلی کیشن ڈویلپرز کو زیادہ محفوظ ایپلی کیشنز بنانے میں مدد کرتی ہیں۔
فہرست کا خانہ
- دخول کی جانچ شروع کرنے کے اقدامات
- دخول جانچ کے طریقے
- PROS
- CONS کے
- دخول کی جانچ کی اقسام
- وائٹ باکس میں داخل ہونے کی جانچ
- بلیک باکس میں داخل ہونے کی جانچ
- گرے باکس میں دخول کی جانچ
- دخول کی جانچ کے اوزار
- وائر شارک
- دخول کی جانچ کے لیے بہترین کمپنیاں
- اکثر پوچھے گئے سوالات
- تجویز کردہ مضامین
دخول کی جانچ شروع کرنے کے اقدامات
مرحلہ 1) منصوبہ بندی کا مرحلہ
- اسائنمنٹ کا دائرہ کار اور حکمت عملی طے کی جاتی ہے۔
- سیکورٹی پالیسیاں، معیارات دائرہ کار کی وضاحت کے لیے استعمال کیے جاتے ہیں۔
مرحلہ 2) دریافت کا مرحلہ۔
- سسٹم کے بارے میں معلومات جمع کریں، بشمول ڈیزائن میں ڈیٹا، صارف نام، اور پاس ورڈ بھی۔
- بندرگاہوں میں اسکین اور تحقیقات کریں۔
- سسٹم کی کمزوریوں کی جانچ کریں۔
مرحلہ 3) حملے کا مرحلہ
- مختلف کمزوریوں کے لیے کارنامے تلاش کریں۔ آپ کو سسٹم کا استحصال کرنے کے لیے ضروری سیکیورٹی مراعات نہیں ملیں گی۔
مرحلہ 4) رپورٹنگ کا مرحلہ
- رپورٹ میں تفصیلی نتائج کا ہونا ضروری ہے۔
- کمزوریوں کے خطرات اور کاروبار پر ان کے اثرات۔
- سفارشات اور حل۔
دخول جانچ کے طریقے
بیرونی جانچ
یہ کمپنی کے اثاثوں کو نشانہ بناتا ہے جو انٹرنیٹ پر نظر آتے ہیں، مثال کے طور پر، ای میل اور ڈومین نیم سرورز (DNS) اور خود ویب ایپلیکیشن، کمپنی کی ویب سائٹ۔ بنیادی مقصد رسائی حاصل کرنا اور قیمتی ڈیٹا کو نکالنا ہے۔
اندرونی جانچ
فائر وال کے پیچھے ایپلی کیشن تک رسائی کے ساتھ ایک ٹیسٹر کسی اندرونی شخص کے حملے کی نقل کرتا ہے۔ یہ ضروری نہیں کہ کسی بدمعاش ملازم کو متاثر کرے۔ ایک عام منظر نامہ ایک ملازم ہو سکتا ہے جس کی اسناد چوری ہو گئی تھیں۔
بلائنڈ ٹیسٹنگ
ایک ٹیسٹر کو صرف اس انٹرپرائز کا نام دیا جاتا ہے جسے نشانہ بنایا جا رہا ہے۔ یہ سیکیورٹی اہلکاروں کو یہ دیکھنے کی پیشکش کرتا ہے کہ اصل درخواست کیسے ہوگی۔
ڈبل بلائنڈ ٹیسٹنگ
سیکیورٹی اہلکاروں کو حملے کا علم نہیں ہے۔ ان کے پاس خلاف ورزی سے پہلے اپنے دفاع کو مضبوط کرنے کا کوئی وقت نہیں ہوگا۔
ٹارگٹڈ ٹیسٹنگ
ٹیسٹر اور سیکورٹی اہلکار دونوں مل کر کام کرتے ہیں اور ایک دوسرے کو اپنی نقل و حرکت سے آگاہ کرتے رہتے ہیں۔ یہ ایک تربیتی مشق ہے جو سیکیورٹی ٹیم کو ہیکر کے نقطہ نظر سے حقیقی وقت میں رائے فراہم کرتی ہے۔
PROS
- جانچ ایک جرات مندانہ حفاظتی نقطہ نظر کو قابل بناتی ہے۔
- یہ حقیقی خطرات کے مطالعہ کی اجازت دیتا ہے اور مقررہ وقت پر کمپنی کے IT انفراسٹرکچر سیکیورٹی پوزیشن کی درست نمائندگی کرتا ہے۔
- یہ ڈیٹا کی خلاف ورزی یا نیٹ ورک کی مداخلت کی تحقیقات میں مدد کرتا ہے تاکہ ڈیٹا کے اخراج یا دانشورانہ املاک کی چوری کی کسی بھی وجہ کو دریافت کیا جا سکے۔
- یہ سسٹم کے بارے میں معلومات جمع کرنے کی اجازت دیتا ہے اور شاید فعال ہیکرز کے بارے میں کچھ اندرونی رپورٹس بھی دیکھ سکتا ہے۔
- یہ نامعلوم اور معلوم دونوں خامیوں کو تلاش کر سکتا ہے اور حفاظتی کمزوریوں کا فائدہ اٹھا سکتا ہے، جنہیں خودکار ٹولز کے ساتھ زیادہ مؤثر طریقے سے استعمال کرنے سے پہلے ان کی شناخت اور درست کیا جا سکتا ہے۔
- یہ کمزوریوں کی نشاندہی کرنے میں کمزوری کی تشخیص کے ذریعہ فراہم کردہ تجزیہ سے کہیں زیادہ دفاعی میکانزم کی افادیت کی توثیق کر سکتا ہے۔
- یہ ایک ایسے نظام کو حملوں کے ساتھ جانچنے کے ممکنہ طریقے فراہم کرتا ہے جو حقیقی دنیا کے واقعات کے ممکنہ حد تک قریب ہوتے ہیں پیشہ ور افراد کے کام کی بدولت جو زیادہ تر بدنیتی پر مبنی ہیکرز کی طرح سوچتے اور حملہ کرتے ہیں۔
CONS کے
- یہ شک ہے کہ ایک دخول ٹیسٹ تمام سیکورٹی مل جائے گا مسائل یا کمزوریوں کو اسکین کرتے وقت اور خودکار رپورٹ تیار کرتے وقت تمام مسائل کو حل کرے گا۔
- ٹیسٹر کو کمزوری کا اندازہ لگانے کے بجائے حملے کی نشاندہی کرنے کے لیے سسٹم کا معائنہ کرنے میں زیادہ وقت لگتا ہے۔ ٹیسٹ کا دائرہ کار زیادہ اہم ہے۔ اس کے اعمال کاروباری سرگرمیوں کے لیے بھی خلل ڈال سکتے ہیں کیونکہ وہ حقیقی حملے کی نقل کرتے ہیں۔
- یہ زیادہ محنت کرنے والا ہے، اور یہ بڑھتی ہوئی لاگت کی نمائندگی کر سکتا ہے، اور شاید کچھ تنظیمیں اس کے لیے بجٹ مختص کرنے کے قابل نہ ہوں۔ یہ سچ ہے جب کسی فرم کو کام انجام دینے کے لیے رکھا جاتا ہے۔
- یہ سیکورٹی کا غلط احساس دیتا ہے۔ زیادہ تر معاملات میں، جانچ کمپنی کی سیکیورٹی ٹیموں کو معلوم ہوتی ہے جو خطرات کو تلاش کرنے کے لیے تیار ہیں اور دفاع کے لیے تیار ہیں۔ حقیقی حملے غیر اعلانیہ اور سب سے بڑھ کر غیر متوقع ہیں۔
دخول کی جانچ کی اقسام
دخول کی جانچ کی ضروری اقسام درج ذیل ہیں:
- یہ یقینی بناتا ہے کہ ماڈیول کے آزاد راستوں کا استعمال کیا گیا ہے۔
- یہ تمام منطقی فیصلے فراہم کرتا ہے جن کی تصدیق ان کی صحیح اور غلط قیمت کے ساتھ ہوتی ہے۔
- یہ غلطیوں کو دریافت کرتا ہے اور نحو کو چیک کرتا ہے۔
- یہ ڈیزائن کی غلطیاں تلاش کرتا ہے جو پروگرام کے منطقی بہاؤ اور اصل عمل میں فرق کی وجہ سے ہوتی ہے۔
- حملے میں حقیقت پسندی کا فقدان ہے۔
- ٹیسٹر غیر مطلع حملہ آور سے مختلف سوچتا ہے۔
- یہ کسی مخصوص پروگرامنگ زبان کے علم کا مطالبہ نہیں کرتا ہے۔
- ٹیسٹر موجودہ نظام میں تضادات کی تصدیق کرتا ہے۔
- ٹیسٹ عام طور پر صارف کے نقطہ نظر سے کیا جاتا ہے، ڈیزائنر سے نہیں۔
- ٹیسٹ کیسز کو ڈیزائن کرنا مشکل ہے۔
- یہ سب کچھ نہیں کرتا ہے۔
- ٹیسٹر کو سورس کوڈ تک رسائی کی ضرورت نہیں ہے۔
- ڈویلپر اور ٹیسٹر کے درمیان واضح فرق ہے، لہذا ذاتی تنازعہ کا خطرہ کم ہے۔
- آپ کو پروگرام کے افعال اور دیگر کاموں کے بارے میں اندرونی معلومات پیش کرنے کی ضرورت نہیں ہے۔
- ٹیسٹرز کو کوڈ دیکھنے تک رسائی نہیں ہے۔
- اگر ایپلیکیشن ڈویلپر نے ایسا ہی ٹیسٹ کیس چلایا ہے تو گرے باکس ٹیسٹنگ بے کار ہے۔
- گرے باکس ٹیسٹنگ الگورتھم ٹیسٹنگ کے لیے مثالی نہیں ہے۔
- کسی مخصوص نیٹ ورک ٹرنک یا سیگمنٹ پر کس قسم کے میزبان دستیاب ہیں۔
- یہ میزبان خدمات کے بارے میں معلومات فراہم کرتے ہیں۔
- کوئی خاص میزبان ورژن اور ڈیٹا پیکٹ فلٹرز/فائر والز کی اقسام استعمال کر رہا ہے۔
- بلوٹوتھ
- IEEE 802.11
- آئی پی سی سی
- ٹوکن رنگ
- فریم ریلے
- کربیروس
- SNMPv3
- SSL/TLS
- ڈبلیو ای پی
- کوئی بھی ایتھرنیٹ پر مبنی کنکشن
- یوزر ایجنٹ جعلی
- درخواستوں کے لیے حسب ضرورت ہیڈر
- ڈی این ایس کیشے پوائزننگ
وائٹ باکس میں داخل ہونے کی جانچ
یہ جامع ٹیسٹنگ ہے، جہاں ایک ٹیسٹر کو سسٹمز اور نیٹ ورک کے بارے میں بہت ساری معلومات فراہم کی جاتی ہیں جیسے سورس کوڈ، اسکیما، OS کی تفصیلات، IP ایڈریس وغیرہ۔ اسے اندرونی ذریعہ کے حملے کی نقل سمجھا جاتا ہے۔ اسے سٹرکچرل، گلاس باکس، کلیئر باکس، اور اوپن باکس ٹیسٹنگ بھی کہا جاتا ہے۔
وائٹ باکس پینیٹریشن ٹیسٹنگ کوڈ کوریج کی جانچ کرتا ہے اور ڈیٹا فلو ٹیسٹنگ، پاتھ ٹیسٹنگ، لوپ ٹیسٹنگ کرتا ہے۔
PROS
CONS کے
بلیک باکس میں داخل ہونے کی جانچ
اس جانچ میں، ٹیسٹر کو اس سسٹم کے بارے میں کوئی اندازہ نہیں ہے جس کی وہ جانچ کرنے جا رہا ہے۔ وہ نیٹ ورک یا سسٹم کے بارے میں معلومات اکٹھا کرنے میں دلچسپی رکھتا ہے۔ مثال کے طور پر، اس قسم کی جانچ میں، ایک ٹیسٹر صرف یہ جانتا ہے کہ متوقع آؤٹ پٹ کیا ہونا چاہیے، اور وہ نہیں جانتا کہ نتیجہ کیسا ہو گا۔ وہ کسی بھی پروگرامنگ کوڈ کی جانچ نہیں کرتا ہے۔
PROS
CONS کے
گرے باکس میں دخول کی جانچ
گرے باکس پینیٹریشن ٹیسٹنگ میں، ٹیسٹر عام طور پر سسٹم کے پروگرام کے بارے میں جزوی یا محدود معلومات پیش کرتا ہے۔ اسے کسی بیرونی ہیکر کا حملہ سمجھا جاتا ہے جس نے کسی تنظیم کے نیٹ ورک تک غیر قانونی رسائی حاصل کی۔
PROS
CONS کے
دخول کی جانچ کے اوزار
نیٹ ورک میپر (NMAP کے نام سے بھی جانا جاتا ہے)
یہ کاروبار یا کارپوریشن کے نیٹ ورک ماحول میں کمزوریوں کی قسم کو دریافت کرنے کے لیے استعمال کیا جاتا ہے۔ اسے آڈیٹنگ کے مقاصد کے لیے بھی استعمال کیا جا سکتا ہے۔ NMAP خام ڈیٹا پیکٹ لیتا ہے جو بنائے گئے ہیں۔
آپ نیٹ ورک کا نقشہ بنا سکتے ہیں اور وہاں سے خطرات کے ان اہم علاقوں کی نشاندہی کر سکتے ہیں جن سے سائبر حملہ آور داخل ہو سکتا ہے۔
وائر شارک
یہ ٹول ایک حقیقی ڈیٹا پیکٹ تجزیہ کار ہے۔ نیٹ ورک پروٹوکول جو سیکورٹی کا تجزیہ کرتا ہے۔ حقیقی وقت میں ٹریفک کی کمزوریاں۔ معلومات اور ڈیٹا اس سے جمع کیا جا سکتا ہے:
W3AF
دی سافٹ ویئر ڈویلپرز اس سویٹ کو بنائیں، اور اس کا بنیادی مقصد ویب پر مبنی ایپلی کیشنز میں موجود کسی بھی سیکیورٹی کی کمزوریوں کو تلاش کرنا اور ان کا فائدہ اٹھانا ہے۔ یہ بہت سے ٹولز پر مشتمل ہے جو خطرات کو جڑ سے اکھاڑ پھینک سکتے ہیں جیسے:
دخول کی جانچ کے لیے بہترین کمپنیاں
سائنس سافٹ
یہ سائبرسیکیوریٹی سروس فراہم کرنے والی اور سافٹ ویئر ڈیولپمنٹ کمپنی ہے۔ یہ بینکنگ، ہیلتھ کیئر، مینوفیکچرنگ، اور دیگر صنعتوں میں کام کرنے والے اپنے کلائنٹس کو ان کے آئی ٹی ماحول کے لیے انتہائی متعلقہ دفاع کو ڈیزائن اور لاگو کرنے میں مدد کرتا ہے۔
نیٹ اسپارکر
ایک درست خودکار سکینر ہے جو کمزوریوں کی نشاندہی کرتا ہے۔ ویب ایپلیکیشنز اور ویب APIs . یہ منفرد طور پر کمزوریوں کی تصدیق کرتا ہے اور یہ ثابت کرتا ہے کہ وہ حقیقی ہیں اور غلط مثبت نہیں۔
یہ ونڈو سافٹ ویئر اور آن لائن سروس کے طور پر دستیاب ہے۔
Indusface WAS
یہ ایک خودکار ویب ایپلیکیشن کمزوریوں کے سکینر کے ساتھ بنڈل کے ساتھ دستی دخول کی جانچ فراہم کرتا ہے جو OWASP ٹاپ 10 کی بنیاد پر کمزوریوں کا پتہ لگاتا اور رپورٹ کرتا ہے۔
کمپنی ممبئی، بنگلورو، وڈودرا، دہلی اور سان فرانسسکو میں دیگر دفاتر کے ساتھ ہندوستان میں واقع ہے، اور خدمات کو عالمی سطح پر 25+ ممالک میں 1100+ صارفین استعمال کرتے ہیں۔
گھسنے والا
یہ ایک ہے سائبر سیکورٹی کمپنی جو اپنے گاہکوں کے لیے ایک خودکار SaaS حل فراہم کرتا ہے۔ طاقتور سکیننگ ٹول کو انتہائی قابل عمل نتائج فراہم کرنے کے لیے ڈیزائن کیا گیا ہے، جس سے مصروف ٹیموں کو اس بات پر توجہ مرکوز کرنے میں مدد ملتی ہے کہ واقعی کیا اہمیت ہے۔
انٹروڈر وہی انجن استعمال کرتا ہے جیسا کہ بڑے بینک کرتے ہیں تاکہ آپ بغیر کسی پیچیدگی کے اعلیٰ معیار کے سیکیورٹی چیک سے لطف اندوز ہو سکیں۔ گھسنے والا ہائبرڈ پینیٹریشن ٹیسٹنگ سروس بھی پیش کرتا ہے، جس میں خودکار اسکینز کی صلاحیتوں سے باہر مسائل کی نشاندہی کرنے میں مدد کے لیے دستی ٹیسٹ شامل ہیں۔
اکثر پوچھے گئے سوالات
ہمیں کتنی بار دخول ٹیسٹ کرانا چاہئے؟
اس کا انحصار مختلف عوامل پر ہے جن پر غور کیا جانا چاہیے جب کہ دخول کے ٹیسٹ کرنے کی فریکوئنسی پر غور کرنا چاہیے۔ درج ذیل چیزیں ہیں جو آپ کو ذہن میں رکھنی چاہئیں
ماحول کتنی بار بدلتا ہے: ٹیسٹوں میں اکثر تبدیلیوں کا وقت ہوتا ہے کیونکہ وہ پیداوار کے لیے تیار حالت کے قریب ہوتے ہیں۔
ماحول کتنا بڑا ہے: ٹیسٹنگ کی کوششوں اور زمین پر رکھے گئے بوجھ کو برابر کرنے کے لیے زیادہ وسیع ترتیبات کا مرحلہ وار تجربہ کیا جاتا ہے۔
دخول ٹیسٹ کے لیے عام اخراجات کیا ہیں؟
دخول کی جانچ کی قیمت بہت مختلف ہوتی ہے۔
قلم ٹیسٹ کی قیمتوں کے تعین کے لیے کئی عوامل استعمال کیے جاتے ہیں، بشمول۔ ضرورتوں کی واضح تفہیم پیدا کرنے اور کسی بھی دخول ٹیسٹ میں شامل ہونے سے پہلے کام کا بیان تیار کرنے کے لیے تفصیلی اسکوپنگ میٹنگ کا ہونا ضروری ہے۔ مثالی طور پر، کسی بھی غیر منصوبہ بند اخراجات کو ختم کرنے کے لیے ایک دخول ٹیسٹ ایک مقررہ فیس کی بنیاد پر کیا جانا چاہیے۔ حوالہ کردہ فیس میں تمام لیبر اور مطلوبہ ٹیسٹنگ ٹولز شامل ہونے چاہئیں۔
دخول کی جانچ کے عمل سے کیا توقع رکھنی چاہئے؟
دخول کی جانچ ایک نظم و ضبط والا عمل ہے۔ ایک ٹیسٹنگ کمپنی کو تمام اسٹیک ہولڈرز کو عمل کے ہر نازک مرحلے کے ذریعے اچھی طرح سے آگاہ رکھنا چاہیے۔ دخول کی جانچ کی خدمات حاصل کرنے والی کمپنی کے طور پر، کسی کو ذہن میں پیروی کرنا چاہئے:
یہ جاننے کے لیے کہ کیا ہو رہا ہے اور کب ہو رہا ہے ایک منصوبہ بند، دستاویزی، اور بات چیت کا طریقہ۔
ایک نظم و ضبط، تکرار کے قابل نقطہ نظر کی پیروی کی جانی چاہئے.
نظام کو کاروبار کے ماحول کے مطابق بنایا جانا چاہیے۔
درست نتائج اور تدارک کی واضح تفہیم کو یقینی بنانے کے لیے ایک متعین آغاز کا عمل، منصوبہ بندی کا عمل، مربوط جانچ، اور باہمی تعاون کے ساتھ ترسیل کا عمل۔