Ի՞նչ է անվտանգության թեստավորումը։

Անվտանգության թեստավորումը ծրագրային ապահովման թեստավորման տեսակ է, որը նպատակ ունի բացահայտել համակարգում առկա թերությունները, որոնք կարող են օգտագործվել հանցագործների կողմից անօրինական մուտք գործելու, տվյալների վնասման կամ այլ վնասակար գործողությունների համար:

Հիմնական аспектները:

• Թերությունների հայտնաբերում: Թույլ տեղերի որոնում կոդում, կոնֆիգուրացիայում, ճարտարապետությունում:
• Ռիսկերի գնահատում: Հետազոտել հայտնաբերված թերությունների հնարավոր վնասը:
• Համապատասխանության ստուգում: Հաստատել անվտանգության ստանդարտների և քաղաքականությունների պահպանումը:
• Ավարտում: Խնդիրների հայտնաբերում նախնական զարգացման փուլում:

Անվտանգության թեստավորման հիմնական տեսակները:

• Թերությունների սկանավորում: Ավտոմատացված որոնում հայտնի թերությունների միջոցով գործիքների օգնությամբ:
• Հանցագործության փորձարկում (Penetration Testing): Իրական հարձակումների իմիտացիա՝ համակարգի դիմադրողականությունը գնահատելու համար:
• Կոդի անվտանգության վերլուծություն: Թերությունների որոնում ստատիկ և դինամիկ վերլուծության միջոցով:
• Կոնֆիգուրացիայի անվտանգության գնահատում: Սերվերների, տվյալների բազաների և այլ բաղադրիչների կարգավորումների ճիշտությունը ստուգելու համար:
• API անվտանգության փորձարկում: Անվտանգության թերությունների գնահատում API ինտերֆեյսներում:

Տեխնիկաների և գործիքների օրինակներ:

• OWASP ZAP: Գործիք վեբ հավելվածների թերությունների որոնման համար:
• Nmap: Գործիք ցանցերի հետազոտության և անվտանգության աուդիտի համար:
• Burp Suite: Համապարփակ գործիք վեբ անվտանգության փորձարկումների համար:
• Ստատիկ կոդի վերլուծիչներ (SAST): Գործիքներ ստատիկ կոդում թերությունների որոնման համար՝ առանց այն գործարկելու:
• Դինամիկ կոդի վերլուծիչներ (DAST): Գործիքներ թերությունների որոնման համար՝ ծրագրի գործարկման ժամանակ:

Այն տարբեր է մյուս տեսակի թեստավորումներից՝ ֆունկցիոնալ կամ ռեգրեսիոն թեստավորումներից, որոնք կենտրոնացած են ծրագրի ճիշտ աշխատանքի վրա ըստ սպեկսիֆիկացիայի, անվտանգության թեստավորումը ստուգում է, թե որքանով է դիմացկուն արտաքին և ներքին սպառնալիքների նկատմամբ:

Նպատակը: Համոզվել տվյալների և համակարգի գաղտնիության, ամբողջականության և հասանելիության ապահովմամբ։