Penetration Testing ဆိုတာ ဘာလဲ

Penetration testing (သို့မဟုတ် pen testing) သည် ဆိုက်ဘာလုံခြုံရေးတွင် အရေးကြီးသော လုပ်ငန်းစဉ်တစ်ခုဖြစ်ပြီး၊ ကွန်ပျူတာစနစ်၊ ကွန်ရက် သို့မဟုတ် ဝဘ်အက်ပလီကေးရှင်းတစ်ခုပေါ်တွင် ဆိုက်ဘာတိုက်ခိုက်မှုကို ကြိုတင်စမ်းသပ်ခြင်းဖြင့် Malicious Hacker (Black Hat Hacker) တွေ တိုက်ခိုက်မလာခင်မှာ အားနည်းချက်များကို ရှာဖွေဖော်ထုတ်ဖို့ ရည်ရွယ်ပါတယ်။ ဒါကြောင့် Penetration testing ၏ အဓိက ရည်ရွယ်ချက်မှာ attacker တွေက ကိုယ့် စနစ်တွေရဲ့ အားနည်းချက်တွေကို အသုံးမချမီမှာ ၎င်းအားနည််းချက်တွေကို ကြိုတင်ဖော်ထုတ်ဖို့ဖြစ်ပါတယ်။

Penetration Testing ၏ ရည်ရွယ်ချက်များ

1. အားနည်းချက်များကို ဖော်ထုတ်ခြင်း

Pen testers (white hat hackers) တွေသည်လည်း စနစ်တစ်ခုအထဲမှာရှိတဲ့ အားနည်းချက်တွေကို attack လုပ်ဖို့ ကြိုးစားပါတယ်။ ဥပမာ - ကျွန်တော်တို့ စနစ်ထဲမှာ run နေတဲ့ out of date ဖြစ်နေတဲ့ software တွေ၊ service တွေ စတာတွေကို သုံးနေလား၊ web app တွေမှာ vulnerability ရှိနေလား၊ default credential တွေကို သုံးမိထားသလား၊ misconfiguration တွေ ဖြစ်နေသလား စတာတွေကို ရှာဖွေ ဖော်ထုတ်ရပါတယ်။ black hat hacker တွေနဲ့ မတူတာက white hat hacker တွေသည် ခွင့်ပြုချက် ရယူလုပ်ဆောင်ကြတာဖြစ်ပြီး target system ကို ထိခိုက်ပျက်စီးစေလိုတဲ့ ရည်ရွယ်ချက်မျိုးနဲ့ လုပ်ဆောင်ခြင်း မဟုတ်တာပါပဲ။

2. အကျိုးသက်ရောက်မှုကို အကဲဖြတ်ခြင်း

ဒီစမ်းသပ်မှုကနေ တွေ့ရှိလာတဲ့ အားနည်းချက်တွေရဲ့ ပြင်းထန်မှု၊ စနစ်အပေါ် ထိခိုက်နိုင်ချေရှိသော သက်ရောက်မှုနှင့် အားနည်းချက်များကြောင့် ဒေတာကျိုးပေါက်မှု သို့မဟုတ် အခြားလုံခြုံရေးဆိုင်ရာခြိမ်းခြောက်မှုတွေကို ဖြစ်စေနိုင်ခြေရှိမရှိ စသည်ဖြင့် အကဲဖြတ်ရပါတယ်။

3. လုံခြုံရေးအစီအမံများကို စစ်ဆေးခြင်း

Pen testing သည် ကျွန်တော်တို့ရဲ့ စနစ်တွေထဲမှာ အသုံးပြုထားတဲ့ လုံခြုံရေးဆိုင်ရာ လုပ်ဆောင်ချက်တွေရဲ့ တကယ်တမ်းကာကွယ်နိုင်စွမ်းကို ဆန်းစစ်ခြင်းတစ်မျိုးလည်း ဖြစ်ပါတယ်။ ကျွန်တော်တို့ရဲ့ လုံခြုံရေးစီမံချက်တွေ တကယ် အလုပ်ဖြစ် မဖြစ်ကိို စစ်ဆေးနိုင်ပါတယ်။

Penetration Testing ကို ဘယ်လို လုပ်ဆောင်ကြလဲ

Penetration testing လုပ်ဆောင်ပုံ အဆင့်ဆင့်

1. Information Gathering

ဒီအဆင့်မှာက ကျွန်တော်တို့ ရယ်ရွယ်ထားတဲ့ စနစ်အကြောင်း သူနဲ့သက်ဆိုင်ရာ အချက်အလက်များကို စုဆောင်းပါသည်။ ဥပမာ - ဒိုမိန်းအမည်များ၊ IP လိပ်စာများနှင့် ဖြစ်နိုင်ခြေရှိသော ဝင်ရောက်စရာနေရာများ စသည်ဖြင့်

2. Scanning

Scanning ပိုင်းမှာက သီးသန့်ပြောရရင် အပိုင်း ၂ ပိုင်းပါပါတယ်။ ပထမဆုံး လုပ်ဆောင်ရတာက Port Scanning ဖြစ်ပါတယ်။ Stage အရ ပြန်ကြည့်ရင်တော့ Port Scanning က Active Information Gathering ထဲမှာ ပါဝင်ပါတယ်။ ဒီအဆင့်က အဓိကအားဖြင့် ကျွန်တော်တို့ရဲ့ target server မှာ ဘယ် port တွေကတော့ ပွင့်နေတယ်ဆိုတာကို ရှာဖွေ ဖော်ထုတ်ဖို့ လုပ်ဆောင်ပါတယ်။ နောက်တစ်ဆင့်ကတော့ Vulnerability Scanning ဖြစ်ပါတယ်။ ကျွန်တော်တို့ရဲ့ target system မှာ ဘယ်လို ချို့ယွင်းချက်တွေ ရှိနေတယ်ဆိုတာတွေကို ရှာဖွေ ဖော်ထုတ်ရတာပါ။ ဒီအဆင့်မှာ Nmap, Nessus, GVM, ... စတဲ့ vulnerability scanning လုပ်ဆောင်နိုင်တဲ့ tool တွေအပြင် OSINT နည်းပညာတွေကိုလည်း အသုံးပြုလုပ်ဆောင်ကြလေ့ရှိပါတယ်။

3. Exploiting

ခုနက ရှာဖွေဖော်ထုတ်ထားခဲ့တဲ့ အားနည်းချက်တွေကို အသုံးပြုပြီး တိုက်ခိုက်တာမျိုးကို ဒီအဆင့်မှာ လုပ်ဆောင်ပါတယ်။ ဥပမာ ဆိုရရင် SQL injection, cross-site scripting (XSS), buffer overflows စသည်ဖြင့် ရှိနေတဲ့ vulnerability ပေါ်မူတည်ပြီးတော့ သင့်တော်ရာ attack ကို အသုံးချပြီး လုပ်ဆောင်ပါတယ်။

4. Post Exploitation

exploitation အဆင့်ကနေ ရရှိလာတဲ့ လုပ်ဆောင်နိုင်မှုကို အကဲဖြတ်ရတဲ့အဆင့်ပါ။ ကျွန်တော်တို့ ရရှိထားတဲ့ access က ဘယ်အတိုင်းအတာအထိ လုပ်ပိုင်ခွင့်ရှိနေလဲဆိုတာကို ဆန်းစစ်ရပါတယ်။ အကယ်၍ အကန့်အသတ်နဲ့သာ လုပ်ဆောင်နိုင်တာမျိုး ဖြစ်နေခဲ့မယ်ဆိုရင် အဲသည် အဆင့်ကနေ ရှေ့ဆက်ပြီး လုပ်ချင်ရာလုပ်နိုင်တဲ့ အမြင့်ဆုံး လုပ်ပိုင်ခွင့်ထိ ရရှိအောင် ကြိုးစားရမှာ ဖြစ်ပါတယ်။ ပြီးတော့ ကျွန်တော်တို့သည် victim စနစ်အတွင်း ဘယ်လောက်ထိ ဆက်သွားနိုင်တယ်ဆိုတဲ့ သက်ရောက်နိုင်မှုကို ပေါ်လွင်အောင် လုပ်ဆောင်ရတဲ့ အဆင့်တွေကို ဒီနေရာမှာ လုပ်ဆောင်ကြရပါတယ်။

5. Reporting

ဒီအဆင့်ကတော့ နောက်ဆုံးအဆင့်ပါ။ ကျွန်တော်တို့ရဲ့ တွေ့ရှိချက်တွေကို မှတ်တမ်းတင်ခြင်း၊ အားနည်းချက်တွေနဲ့ အဲဒါတွေကို အသုံးချနိုင်သည့်နည်းလမ်းများ၊ ရရှိလာသော လုပ်ပိုင်ခွင့်အဆင့်နှင့် victim system အတွက် ဖြစ်နိုင်ခြေရှိတဲ့ အန္တရာယ်တွေကို အသေးစိတ်ဖော်ပြထားတဲ့ report တွေကို ရေးတင်တဲ့ အဆင့် ဖြစ်ပါတယ်။ ရှာဖွေဖော်ထုတ်ထားတဲ့ အားနည်းချက်တွေကို ဖြေရှင်းရန် လုပ်ဆောင်သင့်တာတွေကို အကြံပြုချက်တွေပါရေးပြီး report ကို victim organization ဆီ ပေးပါတယ်။

Penetration Testing အမျိုးအစားများ

Pentesting လုပ်ဆောင်ရာမှာ အောက်ပါအတိုင်း ၃ မျိုး တွေ့ရပါတယ်။

Black Box Testing

ဒီလုပ်ဆောင်ချက်မှာက Tester သည် target system အကြောင်း ဘာအချက်အလက်ကိုမှ သိမထားပါဘူး။ သူသည် ပြင်ပက လာမယ့် တကယ့် black hat hacker လိုမျိုး လုပ်ဆောင်ရမှာ ဖြစ်ပါတယ်။

White Box Testing

ဒီလုပ်ဆောင်ချက်မှာတော့ Tester သည် စနစ်၏ မူရင်းကုဒ်နှင့် ကွန်ရက်ဖွဲ့စည်းပုံအပါအဝင် လိုအပ်တာတွေကို အပြည့်အဝသိရှိပါသည်။ အတွင်းလူအဖြစ် တိုက်ခိုက်တဲ့ Insider attack လို လုပ်ဆောင်မှုမျိုးကို စမ်းသပ်ရတာ ဖြစ်ပါတယ်။

Gray Box Testing

ဒီလုပ်ဆောင်ချက်မှာတော့ Tester သည် စနစ်အကြောင်း အကန့်အသတ်ဖြင့်သာ သိရှိပါသည်။ အတွင်းပိုင်းအသုံးပြုခွင့် သို့မဟုတ် အချက်အလက်အချို့ ရှိပြီးသား တိုက်ခိုက်သူတစ်ဦးအဖြစ် စမ်းသပ်ခြင်းဖြစ်ပါတယ်။

Penetration Testing Tools

Penetration testing တွင် အသုံးပြုသော Tool များစွာရှိပါသည်။ ဥပမာ -

Metasploit
Burp Suite
Wireshark
Aircrack-ng
Zap
Nmap

Penetration Testing က ဘာလို့ အရေးပါတာလဲ

Penetration Testing ကြောင့် အောက်ပါ ကောင်းကျိုးတွေကို ရနိုင်ပါတယ်။

ကြိုတင်ကာကွယ်နိုင်စေခြင်း

အားနည်းချက်တွေကို ကြိုတင်ဖော်ထုတ်သိရှိနိုင်တဲ့အတွက် တကယ့် attacker တွေ တိုက်ခိုက်မလာခင် စိတ်ချရမှုရှိအောင် ကြိုတင်ပြင်ဆင် ကာကွယ်ထားနိုင်စေပါတယ်။

လုံခြုံရေးအသိပညာတိုးတက်စေခြင်း

Penetration Testing သည် ဖြစ်နိုင်ခြေရှိသော ခြိမ်းခြောက်မှုတွေနဲ့ ၎င်းတို့ကို ဘယ်လိုလျှော့ချရမည်ဆိုတာကို ပြောပြပေးနိုင်ပါတယ်။

ဒေတာချိုးဖောက်မှုများကို ကာကွယ်ခြင်း

Penetration Testing လုပ်ဆောင်ပြီး အားနည်းချက်တွေကို malicious hacker တွေ အသုံးမချမီ ကြိုဖော်ထုတ်ကာကွယ်ခြင်းဖြင့် ဒေတာခိုးယူခံရခြင်း၊ ဝန်ဆောင်မှုများ ကြားဖြတ်ခံရခြင်းနှင့် အခြားမကောင်းသော တိုက်ခိုက်မှုများ၏ အန္တရာယ်ကို လျှော့ချပေးနိုင်ပါတယ်။

ယုံကြည်မှုရစေခြင်း

အသုံးပြုသူတွေကို ကာကွယ်ခြင်းသည် အဆိုပါစနစ်အတွက် ဂုဏ်သတင်းကို ကာကွယ်ပေးပြီး အသုံးပြုသူတွေရဲ့ ယုံကြည်မှုကို ထိန်းသိမ်းပေးပါသည်။

အကျဉ်းချုပ်

အကျဉ်းချုပ်အားဖြင့် ဆိုရလျင် penetration testing သည် ဆိုက်ဘာတိုက်ခိုက်သူတွေက ကျွန်တော်တို့ရဲ့ စနစ်တွေကို တိုက်ခိုက်မလာမီ ၎င်းတို့ရဲံ အားနည်းချက်တွေကို ဖော်ထုတ်ရန် ကူညီပေးခြင်းဖြင့် အဖွဲ့အစည်းများ၏ system များကို လုံခြုံစေရန် ကြိုတင်ကာကွယ်သည့် နည်းလမ်းတစ်ခုဖြစ်ပါတယ်။