جلسه 17: سطوح دسترسی کاربران و تاثیر آن در تست امنیت

جلسه 17: سطوح دسترسی کاربران و تاثیر آن در تست امنیت

نگهداری امن و محرمانه اطلاعات مشتریان از اولویت بالایی در تمامی سازمان ها و شرکت ها برخوردار است. متأسفانه، روزانه آسیب پذیری های جدیدی کشف شده و همگامی نگهداشت امن سازمان در برابر آن ها، تقریباً به امری محال تبدیل شده است. این آسیب پذیری ها در تار و پود زیرساخت IT قرار گرفته و گاهاً به مدت بسیار طولانی کشف نشده باقی می مانند. اگرچه راه های بسیاری برای امن سازی سیستم ها و اپلیکیشن ها در برابر آسیب پذیری ها وجود دارد، اما تنها راه کسب اطمینان واقعی از آن، تست امنیتی بستر IT سازمان به منظور یافتن این حفره های امنیتی است.

داده ها و اطلاعات کاربران و البته وبسایت ها ممکن است به سرقت برده شوند؛ مورد سوء استفاده گرفته و یا در فضای عمومی و بدون خواست صاحبان آن عرضه شوند. تست امنیت Security Testing امروزه مبحث داغ امنیت است تا آسودگی خیال افراد را در بستر اینترنت فراهم کند. راهکار “تست امنیتی” امکان تکرار حملات بر روی سیستم ها، دستگاه ها و اپلیکیشن ها را به منظور آشکارسازی زنجیره ای از مسیرهای باز و آسیب پذیر بر روی سیستم ها و داده های حساس و حیاتی سازمان، فراهم می آورد.

خلاصه جلسه قبل:

در جلسه قبل آموختیم که داده های حساس و ضعف در پشتیبانی و حفاظت از آن ها چقدر می تواند آسیب زننده باشد؛ بسیاری از برنامه های وب از داده های حساس کاربر مانند اطلاعات کارت های اعتباری، اطلاعات شخصی و هویتی، اعتبار سنجی حساب بانکی و غیره به درستی محافظت نمی کنند و این دسترسی هکر ها را به اطلاعات شخصی و مالی ما را ساده می کند. در این جلسه قرار است سطوح دسترسی کاربران و تاثیر آن در تست امنیت را مورد بررسی قرار دهیم.

سطوح دسترسی کاربران و تاثیر آن در تست امنیت

بیشتر برنامه های اینترنتی، برنامه های تحت وب و وبسایت ها قبل از اعطای هر گونه دسترسی به کاربران، یک سری حقوق و شرایط و ضوابط را به او ارائه می کنند که به آن، حقوق دسترسی به سطح عملکرد یا Function Level Access گفته می شود که نیازمند بررسی، کنترل و دقت بیشتری است زیرا در صورت غفلت از آن هکرها می توانند بدون مجوز مناسب وارد برنامه شوند و دست به سوء استفاده بزنند. اجازه دهید با کمک نمودار ساده، عوامل تهدید، وکتورهای حمله، ضعف امنیتی، تأثیر فنی و تأثیرات تجاری این نقص را بهتر درک کنیم.

مثال:

بیاید یک نمونه نمونه شایع از این نوع خطر امنیتی در دنیای وب را ارائه می کنیم. در این نمونه رایج یک هکر به URL های هدف نفوذ می کند. معمولاً دسترسی به سطح ادمین admin نیاز به تایید اعتبار دارد اما اگر دسترسی به برنامه تأیید نشود، کاربر غیرمجاز می تواند به صفحه ادمین دسترسی پیدا کند.

' Below URL might be accessible to an authenticated user
http://website.com/app/standarduserpage

' A NON Admin user is able to access admin page without authorization.
http://website.com/app/admin_page

Hands ON

مرحله 1) بیایید با وارد کردن لیست کاربران و امتیازات دسترسی آنها، به عنوان مدیر یا ادمین، به حساب وارد شویم.

مرحله 2) پس از تلاش در ترکیبات مختلف می توان فهمید که Larry به مدیر حساب منابع دسترسی دارد.

مکانیسم های پیشگیرانه

• مکانیزم تأیید اعتبار باید تمام دسترسی را بطور پیش فرض را رد کند و دسترسی به نقش های خاص را برای هر عملکرد فراهم نماید.
• در یک برنامه مبتنی بر گردش کار، وضعیت کاربران قبل از اجازه دسترسی به آنها به هر منبعی باید تأیید شود.

سخن پایانی

در این جلسه به بررسی سطوح دسترسی کاربران و تاثیر آن در تست امنیت پرداختیم؛ بیشتر برنامه های اینترنتی، برنامه های تحت وب و وبسایت ها قبل از اعطای هر گونه دسترسی به کاربران، یک سری حقوق و شرایط و ضوابط را به او ارائه می کنند که به آن، حقوق دسترسی به سطح عملکرد یا Function Level Access گفته می شود که نیازمند بررسی، کنترل و دقت بیشتری است زیرا در صورت غفلت از آن هکرها می توانند بدون مجوز مناسب وارد برنامه شوند و دست به سوء استفاده بزنند. در جلسه بعدی قرار است به سراغ تاثیر CSRF در تست امنیت برویم. لطفا نظرات خود در رابطه با این مقاله را با ما به اشتراک بگذارید.

شاد و سر سبز باشید.