ሰርፕ ቴስት ከ የደኅንነት አካባቢ ማረሻ ጋር: ፍልስሉና መተላለፊያ ጊዜዎች

ይህ የብሎግ ጽሑፍ በሳይበር ደህንነት ዓለም ውስጥ የጠቃሚ አስፈላጊነት ካለው ሁለት ጥንታዊ ቃላት፣ የስዝም ፈተናና የደህንነት ክፍተት ሚዛና በተደረገ ሙከራ። የስዝም ፈተና ምንኛ እንደሆነ፣ ስለምን አስፈላጊ እንደሆነና ከደህንነት ክፍተት ሚዛና ጋር የሚለያዩት ልዩነቶች ተቀምጦአል። የደህንነት ክፍተት ሚዛና ዕላማዎቹን ያመለከተው ሲሆን፣ ሁለቱንም ዘዴዎች መተግበሪያ ጊዜ ሰፊ መልኩ ምክር ያቀርባል። በጽሑፉ ውስጥ፣ ስዝም ፈተናና የደህንነት ክፍተት ሚዛና ሲደረግ ሊጠንቀቁት የሚገባው፣ የተጠቀሱት ዘዴዎችና መሣሪያዎች በዝርዝር ተወጥቷል። ሁለቱም ዘዴዎች ጥቅሞች፣ ውጤቶችና የሚጋራቸው ቦታ በግልጽ ተቀምጦ፣ ለሳይበር ደህንነት ዘዴዎችን ለማጠናከር አደራ የሆነ ሙሉ ውጤትና ምክር ይሰጣል።

የስዝም ፈተና ምንድነው፣ ስለምን አስፈላጊ ነው?

ሲዝማ ፈተና (Penetration Testing) የአንድ ኮምፒውተር ሲስተም፣ አውታረ መረብ ወይም የዌብ መተግበሪያ ደህንነት አግሳጽነትን እና ደረሰኝነትን ለማወቅ የሚደረገ የተፈቃደ ሳይበር ጥገና ነው። በመሠረቱ፣ የኢታካ አደጋ ሰራተኞች የውስጡን ሲስተሞች እንደ ደህንነት አጥቢያ በተለመደ መንገድ ፍራዊ ይሞክራሉ፤ የደህንነቱ መደገፍ በምን ያህል ውጤታማ እንደሆነ ይመረምራሉ። ይህ ሂደት የደህንነት አግሳጽነቶች በበደል ባሉ ሰዎች ከሚገኙበት በፊት መግለጽና መፍጸም ያሳለፋል። ሲዝማ ፈተና የድርጅቶችን ሳይበር ደህንነት በየጊዜው ለማሻሻል ይረዳቸዋል።

ረገጣ ፈተናዎች አሁን በዘመናዊ ዘርፍ ውስጥ አስፈላጊነታቸው በጣም እየጨማቀ ነው። ምክንያቱም የሳይበር ጥቃቶች እየበታሉና የጥቃት ፊት እየሰፋ ስለሆነ፣ የታዋቂ የአሳዳጊ መንገዶች ብቻ ይበቃሉ የሚባሉ አይደሉም። ረገጣ ፈተና የእሳት ግድብ፣ የጥቃት መገናኛ ሲስተሞችና ሌሎች የአሳዳጊ መሣሪያዎችን በእውነተኛ የዓለም ሁኔታዎች ላይ በሚያሰስበት ሕንፃ ይፈታያል፣ የተገኘውን ድክተት ያሳያል። በዚህ መንገድ፣ ድርጅቶች የጥቃት ፍላጎቶቻቸውን ሊያሟሉ፣ የአሳዳጊ ስህተቶችን ሊያስተካክሉ፣ የአሳዳጊ ፖሊሲዎቻቸውንም ሊያዘምኑ ይችላሉ።

ረገጣ ፈተናው ጥቅሞች

• የአሳዳጊ ፍላጎቶችን በቅድሚያ ማግኘት
• የቀረበውን የደህንነት መንገዶች በጥራት ማረጋገጥ
• የሳይበር ጥቃት አደጋን ማሳነስ
• በሕጋዊ ደንቦች መሳሰሉን አረጋጋጥ
• የደንበኞች ደህንነትን የማሳደግ እድሉን መደገፍ
• ስርዓቶችና ውሂብ እንደተጠበቁ ማረጋገጥ

ረገጣ ፈተናዎች ብዙውን ጊዜ የሚከተሉትን እንደ ዝርዝር ያሳያሉ፡ እቅድ እና ስብስብ፣ መቃናት፣ የጥምድ አጭር ቅኝት፣ አስቸኳይ ድክተት፣ ትንታኔ እና የግልጽ ተናጋሪ ሪፖርት። የእያንዳንዱ ደጋፊው የስርዓቱን ደህንነት በድንበሩ በተጠቃላላ ሁኔታ ለማግኘት ታስቦ የተዘጋጀ ነው። በአስቸኳይ የድክተት ደጋፊ ውስጥ በተገኙ የአሳዳጊ ፍላጎቶች በርግጥ እንደት ከቶ ፍላጎቱ አንደበት መረዳት በጣም አስፈላጊ ነው።

ረገጣ ፈተና የድርጅቶች የሳይበር አሳዳጊ አደጋዎችን ለማረዳትና ለማሳነስ የሚጠቀሙት የማይትረፈረፍ መሣሪያ ነው። በተደጋጋሚ የሚደረጉ ረገጣ ፈተናዎች ለለውጥ የሆነውን የአደጋ አካባቢን ለመገንዘብና ስርዓቶችን በታስተካከለ ሁኔታ ለማቆየት በጣም አስፈላጊ ነው። በዚህ አሳሽ፣ ድርጅቶች ከክብር አጣዎች መከላከልና ከውሂብ የደኅንነት ጕድለቶች የታመነ መሻሻል ማቅረብ ይችላሉ።

የደህንነት ክፍተት መርመራ ምንድነው እና የሚያሳለፉት ዓላማዎች ምንድነው?

የደህንነት ክፍተት መርመራ ማንኛውም ስርዓት፣ አውታረ በይነገና፣ ወይም መተግበሪያዎች ውስጥ ያሉ የታወቀ ደህንነት ድክምናዎችን ማስተናገድ እና ማንሳት የሚያስችለው ሂደት ነው። ይህ ምርመራ ከስጋት ሙከራ ሂደት የተለየ ሲሆን፣ በአጠቃላይ የበለጠ ፈጣንና ቅናሽ የሆነ ዋጋ አላቸው። የደህንነት ክፍተት መርመራዎች እየተገኘ የሚገጥሙትን ደህንነት ድክምናዎችን ማወቅ የድርጅቶችን የደህንነት ፍታ ለማጠናከር ይረዳሉ። ይህ ሂደት የደህንነት ሙያማዎችና የስርዓት አስተዳዳሪዎች ሲከተሉ ለመጋበዝ ያስችላቸዋል።

የደህንነት ክፍተት መርመራዎች በብዙው የሚከናወኑት ምርመራዎችን የሚያሳይ የሚሰሩ ዘመናዊ መሳሪያዎችን በመጠቀም ነው። እነዚህ መሳሪያዎች በስርዓቶችና በአውታረ በይነገናዎች የታወቀ ደህንነት ክፍተት ምርመራ ይያዙ፣ ዝርዝሩን የሚያሳይ መዝገብ ያዘጋጁ። የሚያዘጋጁ መዝገቦች የተገኙትን የደህንነት ክፍተት አይነት፣ አጭማመጥ እና ምንም ዴናን መታይ በሚፈልጉበት መልኩ የሚያሳዩ ማቅረብ ይደረግባቸዋል። መርመራዎች በየዘመኑ ድጋፍ፣ ወይም አዲስ አደጋ በገጠመ ወቅት መደምደም ይችላሉ።

• የደህንነት ክፍተት መርመራ ዓላማዎች
• በስርዓቶችና አውታረ በይነገና ያሉ የደህንነት ክፍተት ማስተናገድ።
• የደህንነት ክፍተቶችን አጭማመጥ መተንተን እና ቅድመ ምርመራ ማድረግ።
• የማች መረጃ አቅርቦት በማድረግ የደህንነት ፍታ ማሻሻል።
• ሕጋዊና የቁጥጥር ዞን ምርመራዎችን ማሟሟል።
• የሚችሉትን ጥቃቶች ማከላከል እና የውሂብ ስህተት መቅናሽ።
• የስርዓቶችና መተግበሪያዎች ደህንነት ንድፈ ሀሳብ ማቅጣጫ ያቀርባል።

የደህንነት ክፍተት መርመራዎች የሳይበር ደህንነት ዘዴ አካል ስለሚሆኑ የድርጅቶች በተቃራኒዎቹ አገጋጋነት የሚያደርጉት ቅድመ እርምጃን ይደርሳል። ይህ ምርመራ ለውስተኛና ለትልቅ አይነት አውታረ በይነገናዎችን የሚካትቱ ድርጅቶች አስፈላጊ ነው። ከይኩናዊ መርመራዎች በተነሳ የደህንነት ቡድኖች ወዴት ያቀርባሉ ማወቅ ይችላሉ እና የሚኩናውን ሀብት አቅርቦት የተቀጣጣሚ መርማሪያ ማድረግ ይችላሉ።

የደህንነት ክፍተት መርመራዎች ገና የሚቀየሩ የሳይበር ደህንነት አገልጋይነትን ከታደጉ ይረዳሉ። አዲስ የደህንነት ክፍተቶች በሚገኙ እኩል፣ መርመራዎች ይህን ክፍተት ማስተናገድ ችላል፣ ድርጅቶችም ፈጣን መከላከያ መወሰድ ይችላሉ። ይህ በተለይም ውሂብ የሚያደርጉና በህጋዊ ገቢ የሚገኙ ድርጅቶች በትምህርት ሰላምታ ያላቸው አስተዳደር ነው። መደበኛ ምርመራ የደህንነት እርምጃዎችን ያቅናሉ። የንግድ ቀጣታን ያጠናከራሉ።

የህልውና ፈተና እና የደህንነት ችግኝ መርማሪያ መካከል ያሉ ዋና ፍልስላሾች

የህልውና ፈተና እና የደህንነት ችግኝ መርማሪያዎች ሁለቱም ድርጅቱ የሲቤር ደህንነት አቋምን ለማሻሻል የሚታወቀው አስፈላጊ የደህንነት ግምገማ ዘዴ ናቸው። ነገር ግን፣ አቀራረባቸው፣ ዕድሜያቸው እና የሚሰጡት ውጤት በተለያዩ በሚያበረሩ ናቸው። የደህንነት ችግኝ መርማሪያ ስርዓቶችን፣ ኔትወርክን እና አፕሊኬሽኖችን በታወቀ የደህንነት ችግኝ ላይ በማበረር ሂደት ነው። እነዚህ መርማሪያዎች በፍጥነት የሚፈጠሩ የደህንነት ደካማነቶችን ለማወቅ የተዘጋጁ ሲሆኑ፣ በቅድሚያ አቅድ የሚፈጁ ናቸው። ሌላ በጎንያው፣ የህልውና ፈተና፣ በብቁ የደህንነት ባለሙያዎች የሚደርሰው የተጻፈና በእጅ የሚፈጠረው ሂደት ነው። በህልውና ፈተና ውስጥ፣ የኢቲክ ሀከር በተመሳሳይ ሳይቤር ጥቃቶችን በማስደሰት ስርዓቶችን ለመበረርና የደህንነት ችግኝን ለማጠቃለል ይሞክራሉ።

የዋና ፍልስላሾችን አንዱ የአስተዳደር ደረጃ ነው። የደህንነት ችግኝ መርማሪያዎች በጣም በሲስተም አውቶማቲክ ናቸው እና በፍጥነት ብዙ ስርዓቶችን ማረም ይችላሉ። ይህ በጠቅላላ ስፍራ የሚትለው ጉዳዮችን ለማወቅ ዋጋ የሚያደርገው ነው። ነገር ግን የአውቶማቲክ እንደ አንድ አይበል፣ መርማሪያዎቹ ከተወቀ የደህንነት ችግኝ በስተቀር ምንም ሊገኙ አይችሉም። አዲስ ወይም ብዙውኑ የተሰራበት ደካማነትን ማወቅ ግን ውስን ነው። የህልውና ፈተናዎች ደግሞ በእጅ የሚፈጠሩና በሰብ የተደጋጋሚ ናቸው። የህልውና ፈተና ባለሙያዎች የስርዓቶችን አይታዎት፣ አውድናና የተጠናቀቀ የጥቃት አይነቶችን ለማጥናት ጊዜ ይወጣሉ። ይህ ንቁ እና ምቹ የሆነ ዘዴ በደካማነት ደርስ እና የሰርዓት ጦርነትን ለመቋቋም አዳዲስና ተስተካከል የሆነ አካሄድ ይሰጣል።

የህልውና ፈተና እና መርማሪያዎች እንዴት ይወዳደራሉ
• ዕድሜ: የደህንነት መርማሪያዎች አጠቃላይ ስፍራ ይሸፍናሉ፣ ህልውና ፈተናዎች በጥቅም ዕድሜ ናቸው።
• ዘዴ: መርማሪያዎች አውቶማቲክ መሳሪያዎችን ተጠቃሚ ያደርጋሉ፣ ህልውና ፈተናዎች እጅ ተካሄድ ቴክኒክን ይያዙ።
• ደረጃ: መርማሪያዎች የአናቱን ደህንነት ችግኝን ያገናሉ፣ ህልውና ፈተናዎች በጥሉ አካሄዶ ያደርጋሉ።
• ጊዜ: መርማሪያዎች በፍጥነት ውጤት ይሰጣሉ፣ ህልውና ፈተናዎች በየትኛውም ጊዜ ይቆያሉ።
• ዋጋ: መርማሪያዎች የተነካካ ዋጋ ናቸው፣ ህልውና ፈተናዎች ግን ትልቅ ፈንታ ይፈልጋሉ።
• ባለሙያነት: መርማሪያዎች በታናሽ ባለሙያነት ይያዙ፣ ህልውና ፈተናዎች ከብቁ ባለሙያዎች ይቻላቸዋል።

ሌላ የተለያዩ ፍልስላሾችን ደግሞ የሚሰጣቸው ልምድ ደረጃ ነው። የደህንነት ችግኝ መርማሪያዎች ችግኝ አይነት፣ አስቸጋሪነት እና ችግኝን በመቊጠብ የገለጸ። ነገር ግን፣ እነዚህ መረጃዎች ውስን ናቸው እና ችግኝ በተግባር ምን ትችላለች የሚያስተውል በቂ አይደለም። የህልውና ፈተናዎች ችግኝ እንዴት ይዋሽ የሚችል፣ የተጎዳው ስርዓት ማን ነው፣ አንድ ጥቃተኛ በድርጅት ውስጥ እንደምን ይገባ የሚያቆመ አጠቃላይ አምናው ይሰጣሉ። ይህ ድርጅቶች ሀዘናቸውን በየትኛውም በጥሉ ያጽናናልና የአሻሻያ ስራዎችንም በቅድመ ትዕዛዝ ያደርጋሉ።

ዋጋ ባህሪውንም በውስጥ ማያየት አስፈላጊ ነው። የደህንነት ችግኝ መርማሪያዎች በአውቶማቲክነት እና በዝቅተኛ ባለሙያነት ምርጫ አቅም በህልውና ፈተናዎች በስተቀር ዋጋ የተነካካ ናቸው። ይህ የውስን በጀት ያላቸው ወይም የደህንነት አቋም በቀጥታ የሚያገለግሉት ድርጅቶች ለውጥ የሚፈነው አማራጭ ናቸው። ነገር ግን፣ የህልውና ፈተናዎች የሰጡት ደህንነት በዝህ ጥናት እና በትክክል የማስደሰት ሲየለውጡ ትልቅ የህይወት አዋጅ፣ ወይም ከተጠናቀቁ ስርዓቶች አንዳንድ ድርጅቶች የተለየ እንዳድርጉ የምርቅ ትእዛዝ ነው።

መቼ ህልውና ሙከራ መስራት አስፈላጊ ነው?

ህልውና ሙከራ የድርጅት የሳይበር ደህንነት አቋምን ለማረጋገጥ እና ለማሻሻል አስፈላጊ መሃከል ነው። ነገር ግን፣ የተለያዩ ጊዜዎችና ሁኔታዎች ላይ የህልውና ሙከራ መስራት ምናልባት የሚገባ አይሆንም። በትክክለኛው ጊዜ ህልውና ሙከራ ማድረግ፣ የተጠናቀቀ ውጤት በማግኘት እና ወጪ አዋጅነቱን በመጠበቅ ተጠቃሚ ይሆናል። እንግዲኛ መቼ ህልውና ሙከራ መስራት አስፈላጊ ነው?

በመጀመሪያ ደረጃ፣ በድርጅት ውስጥ የትልቅ አዋቂ ለውጥ ወይም አዲስ ሲስተም ሳቢ የውጤት ማቅረብ በተፈጠረ ጊዜ ህልውና ሙከራ መጠባበቅ ይገባል። አዲስ ሲስተሞችና አዋቂ ለውጦች የማይታወቅ የደህንነት ጉድለቶችን ሊያመጡ ይችላሉ። እንደዚህ ያለ ለውጥ በኋላ የሚደረገው ህልውና ሙከራ፣ የሚኖሩ አደጋዎችን በቅድሚያ ለማወቅ ይረዳል። ለምሳሌ፣ አዲስ የኢ-ንግድ መድረክ ወይም ደመና የተመሰረተ አገልግሎት በጥቅም ላይ ሲውል ይህን አይነት ሙከራ ይጠየቃል።

በሁለተኛው ደረጃ፣ የሕጋዊ ተመደበ ፍላጎቶች ደረሰን የህልውና ሙከራ አስፈላጊነትን የሚፈጥሩ መድረሻ ናቸው። በተለይ፣ የፋይናንስ፣ የጤና እና የቅድመ ሸጋት ስር የሚመሩ ድርጅቶች፣ PCI DSS፣ GDPR እንደ ዚህ ያሉ የሕጋዊ ደንቦችን ለማቅረብ ይገድባሉ። ይህች ደንብ ትክክል በትክክለኛው ምሽግ ህልውና ሙከራ ማድረግን እና የደህንነት ጉድለቶችን ማስወገድን ጠየቅታል። የሕጋዊ ፍላጎቶች ለማሟሟል እና ከሊሰጥ የሚችሉ የቅጣት ተአምራት ለማርቃት የተደጋጋሚ ህልውና ሙከራ ማድረግ አስፈላጊ ነው።

ለህልውና ሙከራ የሚደረጉ ደንቦች

1. ቅዱም መስፈርት ማስተዳደር: የሚሞከሩ ሲስተሞችና አውታረ መረቦችን ማስታወቅ።
2. ዓላማዎችን መከታተል: አገባብነት እና የሚጠበቀው ውጤት አስተዳደር።
3. መረጃ ማከማቻ: ተዕምር ሲስተሞችን በሚችልበት መጠን መረጃ ያከማቸ።
4. የደህንነት ጉድለቶች መፈተን: በአውቶማቲክ መሳሪያዎችና በእጅ መንገዶች የተጠበቁ ጉድለቶችን ያቀርቡ።
5. እባብነት ሙከራ: የተጠበቁ ጉድለቶችን በመጠቀም ሲስተሞቹን ህልውና ማድረግ።
6. ሪፖርት ማቅረብ: የተጠበቁ ጉድለቶችና ውጤቶቹን በዝርዝር አቅርቦ በሪፖርት ማቅረብ።
7. ማሻሻል: በሪፖርት መሠረት የሚያደርጉ የደህንነት እርምጃዎችን በመያዝ እና ሲስተሞቹን በበለይ ጠንካራ ማድረግ።

በሶስተኛው ደረጃ፣ አንድ የደህንነት ስህተት ተካሄዶ በኋላ የህልውና ሙከራ ማድረግ ይመከታል። ስህተት ውስጥ ጉድለቶችን ፈጥና የሚያውቅና ለዚህ ጉድለቶች ጥቅም ላይ የሚውሉ ለሚቀጥሉ ጥቃቶች መከላከልዎን ይፈጥራል። ስህተት በኋላ የሚደረገው ህልውና ሙከራ፣ የጥቃቱን መምጣት እና የተጠቀሱትን መንገድ በትክክል ለማወቅ ይረዳል። ስለዚህ ተደጋጋሚ ይደርስ፣ ተመሳሳሊ ጥቃቶችን ለመከላከል የሚያደርጉ እርምጃዎች እንዲወሰዱ ይደርሳል።

በደንበኛ ግምገማ ህልውና ሙከራ ማድረግ ቀጣይ የደህንነት ግምገማ ያደርጋል። በዓመት ቢያንስ አንድ ጊዜ፣ እንኳን ለሚገኙ ጠቃሚ መረጃዎች ወይም ለተጠናከረ አደጋ የሚታዩ ሲስተሞች የተደጋጋሚ ህልውና ሙከራ ይጠበቃል። ይህ ድርጅቱ የደህንነት ሁኔታውን የተደጋጋሚ ለማምረትና ለማሻሻል የሚያመች ነው። ይህም እውነተኛ ናቸው፣ ሳይበር ደህንነት በሁሉን ጊዜ የሚለዋወጥ መስክ ስለሆነ ለሚቀየሩ አደጋዎች ዝግጅት ያስፈልጋል።

የደህንነት ክፍትነት ምርመራ ሲደረግ የሚገባቸው ነጥቦች

የደህንነት ክፍትነት ምርመራ ሲደረግ ሰዎች ያስተዋወባቸው በጣም አስፈላጊ ብዙ ነጥቦች አሉ። በነዚህ ነጥቦች ትክክለኛ መጠን ማቅረብ ምርመራውን ውስጥ ማድረስውን በጣም ይጨምራል እና ሲስተሞችን የተያያዘ ደህንነት ያላቸው ይደርሳሉ። ስዝም ሙከራ ሂደቶች እንደሚያሳዩበት በደህንነት ክፍትነት ምርመራው ውስጥ ትክክለኛ መሣሪያዎችን እና ዘዴዎችን መጠቀም አስፈላጊ ነው። ምርመራውን ሳይጀምሩ አስቀድሞ መድረሻውን በግልጽ መልኩ መግለጽ፣ ክልልን ትክክለኛ መግለጽ እና የተነሳበትን ውጤቶችን በንቀት መተከል ያስፈልጋል።

በደህንነት ክፍትነት ምርመራ ውስጥ ከሚደርሱት በጣም አንዱ ስህተቶች ውጤቶቹን በቂ መጥን አይደለም በሚሉ ችግር ነው። የተገኙ ውሳኔዎች በተደላልቅ አካል መተከል፣ ምርመራ የተደረገውን ቅድመ እንዲቀየር እና እንዲማረከት የሚያስችለው ይወዳድራል። እንዲሁም የምርመራው ውጤቶችን በዝርዝር ማሳየት፣ በድጋጋ ምርመራዎችን ተደግሞ ማድረግ፣ ይችላል ሲስተሞችን ዘውድ በደህንነት መጠበቅ እንዲገናኙ የሚያግድ ነው። አይረስና፣ ብቻውን የደህንነት ክፍትነት ምርመራ ይበቃል የሚለው ትዕዛዝ ትክክል አይደለም፤ የተገኙ ውጤቶችን መአዲስ የሚያስፈልጉ ድርጊቶችም አስፈላጊ ናቸው።

በምርመራ ላይ የሚገቡ አዋጅ ነጥቦች

• ክልሉ ትክክለኛ እንዲወሰን
• ዘመናዊና የታመነ መሣሪያዎች መጠቀም
• በመሣሪያዎች ላይ ማስቀመጫውን ትክክለኛ ማድረግ
• የተገኙ ውጤቶችን በንቀት መተከልና የቅድመ ተደላልፍ
• አውቶማቲክ ውሳኔዎች ከውጤቶች መወገጥ (false positives)
• የደህንነት ክፍትነቶች ለማጠፋት የሚገቡ እርምጃዎችን መውሰድ
• በያዛዚ ጊዜ ምርመራዎችን ተደግመው ማድረግ

የደህንነት ክፍትነት ምርመራ ሲደረግ የህግ ስራዎች እና የዲኒት ስምንቶች ማከብርም ያለባቸው ናቸው። በተለይም በሕይወት ያሉ ሲስተሞች ላይ ምርመራ ሲደረግ፣ ሲስተሞች አያዛቸው እንዳይጎዳ የሚያስፈልጉ ብዙ እርምጃዎችን መውሰድ አያስቀምጥ። እንዲሁም የተገኙ ውጤቶች ውስጥ ግል መረጃን በጥንቃቄ መጠባበቅ እና አቓላላይ ሰዎች ይዘዉ ተጠቀም እንዳይችሉ የሚገባቸው ማረጋገጦች ይጠብቁ። በዚህ በዚህ በደህንነት ክፍትነት ምርመራ ሂደት ውስጥ የግል ፖሊሲዎችን እና የውሂብ ጥበቃ የተመሰረተ መሆን አያስቀምጥ፣ በአዲስ ጊዜ የሚኖሩ የህግ ችግሮችን አመንጪ ያደርሳል።

የደህንነት ክፍትነት ምርመራ ውጤቶችን መዘጋጀትና ማስታወቂያ ማድረግ ቅድመ ያስፈልጋል። ሪፖርቶች ግለጫ የተገኙ ደህንነት ክፍትነቶችን፣ የሪስክ ደረጃንና የአስተካካይ ምክሮችን ያካትታሉ። እነዚህ ሪፖርቶች ሲስተም አስተዳደርና የደህንነት ባለሙያዎች የተጠቀመውን ስትክክለኛውን ማስተካከል ያስተባብራሉ። እንዲሁም ሪፖርቶች በደህንነት ጉዳዮች ላይ አጠቃላይ ሀሳብ ያሰናዳሉ እና ለሚቀጥለው የደህንነት ዘዴ የሚያስተዋውቅ የመንገድ አቅጣጫ ያቀርባሉ።

ስዝማ ሙከራ የድርጅቱን ሳይበር ደህንነት አቋም ለማጣራት የሚያደርጉ ልዩ ልዩ ዘዴዎችን እና መሳሪያዎችን ይዟል። እነዚህ ሙከራዎች በተለያዩ ተደራሽ አካላት የሚተገበሩ ዘዴዎችን በመዘርጋት በሲስተሞችና አውቶች ያሉ ቅርፀተ-በላይነት የሚገኙ ድንኳኖችን ለማጣራት ይደረጋል። በተደላዊ አሁኔታ የሚቀርበው ስዝማ ሙከራ ዘዴ ሙከራ መሳሪያዎችን እና እጅ በእጅ ቴክኒክዎችን በአንደኛ ግዜ በማውረድ የተሟላ ደህንነት ትንተናን ያቀርባል።

ስዝማ ሙከራዎች ብዙውን ጊዜ ወደ ሦስት ዋና ምድቦች ይከፈላሉ፡ black box (ጥቁር ታሸግ ሙከራ), white box (ነጭ ታሸግ ሙከራ) እና grey box (ግራጫ ታሸግ ሙከራ). በጥቁር ታሸግ ሙከራ፣ የሙከራ ማስተላለፊያው ስለሲስተሙ ምንም መረጃ አያገኛም እና እውነተኛ ተደራሽን ይመስል። በነጭ ታሸግ ሙከራ፣ የሙከራ ማስተላለፊያው ስለሲስተሙ ሙሉ መረጃ አለው እና ዝርዝር ትንተና ለማድረግ ይችላል። በግራጫ ታሸግ ሙከራው፣ የሙከራ ማስተላለፊያው ስለሲስተሙ የተደንበረ መረጃ አለው።

በስዝማ ሙከራ ሂደት ላይ የሚጠቀሙ መሳሪያዎች ከአውት አቀባበል ዘመናዎች እስከ መተግበሪያ ደህንነት ዘመናዎች ድረስ ያሉ ስፋት አሉት። እነዚህ መሳሪያዎች የደህንነት ድንኳኖችን ራስ በራስ ለማጣራት የሚረዱ ናቸው እና ለየትኩረት መረጃ ለሙከራ ማስተላለፊያዎች ይሰጣሉ። ነገር ግን, እንደ ሚገልጹት, ምንም መሳሪያ ብቻውን የበቂ አልሆነም እና የተሞላ ያላቸው የስዝማ ሙከራ ባለሞያዎች ዕውቀታቸውና ልምዳቸው ከቶ አስፈላጊ ናቸው።

በስዝማ ሙከራ ሂደት ውስጥ ሚጠቀሙ ዘዴዎች በተቀላቀለ ቡድንና በክንዋናው መሰረት ይለያያሉ። በአጠቃላይ አጠቃላይ ዘዴዎች ውስጥ SQL እንጅክሽን, cross-site scripting (XSS), መታወቂያ አረጋጋጭነት ዘለዋይነት እና ምንጭ-መግዛት መቆጣጠሪያዎችን በመውጣት ይቿሉ። እነዚህ ዘዴዎች በድህረ ገጽ መተግበሪያዎች፣ አውቶችና ሲስተሞች ውስጥ የሚገኙ ቅርፀተ-በላይነት ድንኳኖችን ለማጣራት ይጠቅማሉ።

ስዝማ ሙከራ ሙከራተኞች እነዚህ ዘዴዎችን በመጠቀም ሲስተሞች ላይ ያልታወቀ መዳረሻ ለማግኘት፣ በጥልቅ መረጃዎች ላይ ለመድረስ እና ሲስተሞችን ለመስጠት ይሞካሉ። የተሟላ ውጤታማ ጥቃት ምሳሌ የደህንነት ድንኳኖች እንዴት እንደሆኑ እና የሚወስዱ መንስኤዎች እንዴት እንደሚያስፈልጉ ያመለከታል።

ውጤታማ መሳሪያዎች

በገበያው ላይ ብዙ ማስተላለፊያ ሙከራ መሳሪያዎች አሉ። እነዚህ መሳሪያዎች የደህንነት ዕፅፅናዎችን በራስዎ ለመፈለግ፣ የድንበሮችን አደጋ ለመዋቀስና ለመዘጋጀት በተለያዩ ተግባሮች ይውላሉ። ሆኖም፣ ከሁሉም ውጤታማ መሳሪያዎች በላይ፣ የተሞክር የማስተላለፊያ ሙከራ ባለሙያዎች መመሪያ ይያዙበታል።

ታዋቂ የማስተላለፊያ ሙከራ መሳሪያዎች
• Nmap: ለአውታረ መረዳትና ለደህንነት መፈተሻ ይጠቀማል።
• Metasploit: ብዙ ሞያዎችን ለድንበሮች አደጋ ማዋቀስና ለማስተላለፊያ ሙከራ ያጠቃልላል።
• Burp Suite: በድህረገፅ መተግበሪያ የደህንነት ሙከራ የሚታወቀው መሳሪያ ነው።
• Wireshark: የአውታር መንቀሳቀስ ትንበያ ለማድረግ ኃይለኛ መሳሪያ ነው።
• OWASP ZAP: በነፃና በክፍት ምንጭ የስራ ድህረገፅ የደህንነት ትክክል ነው።
• Nessus: ለኃላፊነት የደህንነት ፍተሻ ይጠቀማል።

እነዚህ መሳሪያዎች የማስተላለፊያ ሙከራ ሂደቱን የበለጠ ውጤታማና ትክክለኛ ያደርገዋል። ግን፣ የመሳሪያዎቹ የትክክለኛ ስብሰባና ውጤቱ የትክክለኛ ትግበራ አስፈላጊ ነው። የተቃወሙ ውጤቶች ወይም ስህተታዎች ሊሆኑ ይችላሉ፣ ይህም የደህንነት ዕፅፅናዎችን እንዳይታወቁ ይደርሳል።

የደህንነት ዕፅፅና ፍተሻ መሳሪያዎችና ዘዴዎች

የደህንነት ዕፅፅና ፍተሻ በስርዓቶችና የአውታር ውስጥ የሚኖሩ የተቃወሙ ውክልናዎችን በራስዎ ለማግኘት የሚደርሰው ሂደት ነው። ይህ ፍተሻዎች ማስተላለፊያ ሙከራ ሂደት ውስጥ በጣም አስፈላጊ እና ድርጅቶችን የደህንነት ሁኔታቸውን አበረታታቸው ይረዳቸዋል። የደህንነት ዕፅፅና ፍተሻ መሳሪያዎችና ዘዴዎች በተለያዩ ቴክኒክዎች የተለያዩ ዕፅፅናዎችን ለመታወቅ ይጠቀማሉ።

የደህንነት ዕፅፅና ፍተሻ መሳሪያዎች፣ በተስተናጋጅ የደህንነት ዕፅፅናዎችን በመያዝ በስርዓቶችና መተግበሪያዎች ይመረምራሉ። እነዚህ መሳሪያዎች፣ የአውታር አገልግሎቶችን፣ መተግበሪያዎችና የአንድ የስርዓትን ደህንነት ዕፅፅናዎች በማስተላለፊያ ይግኙ። በፍተሻዎች ውስጥ የተሰበሰቡ መረጃዎች ለዝርዝር ትንበያዎች ይዘጋጀላቸዋል።

በደህንነት ዕፅፅና ፍተሻ ላይ የሚደረጉ አስፈላጊ ነገሮች አሉ። በመጀመሪያ፣ የሚፈተሸው ስርዓት ውስጥ ያለው ደረጃ በግልጽ ሁኔታ ሊወሰድ ይገባል። ቀጣዩ የፍተሻ መሳሪያዎቹ በትክክል ስበሰባና ዘወትር ሊታወቅ ይገባል። እንዲሁም፣ ውጤቶቹ በትክክል በትንበያ ሊቀጥሉና በትዕዛዝ ሊታወቁ አስፈላጊ ነው።

የፍተሻ መተዳደር ዘዴዎች

በደህንነት ዕፅፅና ፍተሻዎች ላይ የተጠቀሱ ዋና የህይወት መተዳደር ዘዴዎች እነዚህ ናቸው፦

• ጥቁር ሳጥን ፍተሻ፡ ለአንድ ስርዓት ምንም መረጃ ያላቸው ፍተሻዎችን ማድረግ ነው።
• ነጭ ሳጥን ፍተሻ፡ ስርዓቱን በተደላይ መረጃ ተመልከቱ የሚደረጉ ፍተሻዎችን ማድረግ ነው።
• ትራስ ሳጥን ፍተሻ፡ ስርዓቱን በአንድ አካል መረጃ ተመልከቱ የሚደረጉ ፍተሻዎችን ማድረግ ነው።

የመደበኛ መሣሪያዎች

በደህንነት ችሎታ ማሰስ ሂደቶች ብዙ የመደበኛ መሣሪያዎች ይጠቀማሉ። እነዚህ መሣሪያዎች ለበለይ ስርዓትና ቦታ የተለያዩ ፍላጎቶችን በተመካከል ይመረጥና ይጥራሉ።

• በችሎታ ማሰስ የሚጠቀመው መሣሪያ
• Nmap: የአውትሎን ማሰስና መግኘት መሣሪያ
• Nessus: የደህንነት ችሎታ ማሰስ መሣሪያ
• OpenVAS: የክፍት ምንጭ የደህንነት ችሎታ አስተዳደር መሣሪያ
• Burp Suite: የድህረ ገጽ መተግበሪያ የደህንነት ምርመራ መሣሪያ
• OWASP ZAP: ነፃ የድህረ ገጽ መተግበሪያ የደህንነት ማሰስ መሣሪያ
• Wireshark: የአውትሎን መደበኛ ትንተና መሣሪያ

የደህንነት ችሎታ ማሰስ ውጤቶች በስርዓቶች ውስጥ ያሉ ደካሞችን ከግምታ ይውጣሉ እና እነዚህ ደካሞችን ለማቃለል የሚያስፈልጉ እርምጃዎች እንዲወሰዱ ይረዳሉ። በየጊዜው የሚደረጉ የደህንነት ችሎታ ማሰስ የድርጅቶችን የሳይበር ደህንነት አደጋዎችን ይቀንሳሉ እና ፕሮአክቲቭ የደህንነት አቀራረብ እንዲወስዱ እድል ይሰጣሉ።

ስዥማ ሙከራው የሚያስገኙት ጥቅሞችና ውጤቶች

ስዥማ ሙከራ በድርጅት ውስጥ የሲበር ደህንነት ቅርጸ ቆሚነቱን ለማጠናከር አስፈላጊ ክብደት አለው። እነዚህ ሙከራዎች የእውነተኛው ዓለም ተስፋፋ ትውልድ የሚያዛላቸውን በማየት ፣ ሚካተታችንን ስረዳዎቻት ምን ሳይታወቅ ለስርአቶቹ እንደመጣባቸው ይገልጹ። የተወጣጣው መረጃ ክፍትነቶችን ለማስወገድ እና የዲፋንስ መካኒዝሞችን ለማሻሻል ከሚጠቅም ዋጋ ያለው የመነሻ እድሳት ይሆናል። በዚህ መሰረት ፣ ኩባንያዎች አስቸኳይ የደብዳቤ ስርዓቶችንና የፋይናንስ ጡረታዎችን በፍጥነት ማቆም ይችላሉ።

ስዥማ ሙከራው የሚያበረታታቸው ጥቅሞች

• የደህንነት ክፍትነቶች ማስረዳት። በስርአቶች ውስጥ ያሉ የደህንነት ድክመቶችና የቅርብ ነገሮችን ይቀርጻል።
• የሪስክ ግምገማ። የተገኙትን ክፍትነቶች በሚያደርጉበት ግምገማ ፣ በሪስኮች አላማ ይደርሳሉ።
• የዲፋንስ መካኒዝሞች ማጠናከር። የሚያገኙት የደህንነት እርምጃዎች በተዋባዖ ያበረታታሉ። የሚከራዩት መሥሪያ ሳካ ዬለውን ፍንዲሉን ይደርሳሉ።
• የውጤት ጥያቄዎችን ማስፈንጠር። የኢንዱስቲሪ መደበኛዎችና የሕጋዊ አስተዳደር ውስጥ እንዲሸፍኑ ተደርጓል።
• የአካል ውህድ አስተናጋጅነት። የመከራዎች የደብዳቤ ክፍትነቶችን በመከላከል የኩባንያውን ፍርድ ይጠብቃሉ እና የደህንነት ተስፋዎችን ይጨምራሉ።

ስዥማ ሙከራዎች የድርጅት ያሉበትን ደህንነት ክፍትነቶች ብቻ ሳይሆን፣ በወደፊት የሚገጥም የተቃለለ ድክመቶችንም ለማስተዋወቅ ይረዳቸዋል። ይህ ቅድመ ሁኔታ በበዘለቀ ስዥማ ደህንነት በውጤት የቁልፍ ቅርጸ ቆሚነት ይፈጥራል። ከዚህ በስተቀር፣ ከስዥማ ሙከራዎች የተነሳው መረጃ በደህንነት ቡድኖች ማስተላለፊያና ዘላቂ ህይወት መረጃ ማንበብ ላይ ይሰራል፣ በዚህ መሰረት በሁሉም ሠራተኞች የሲበር ደህንነት ሃሳባዊ ህይወት እንዲተካ ይረዳል።

ስዥማ ሙከራዎች በሚያስገኙት ውጤቶች ግልጽና የሚታወቀውን እና እርግጠኛ ምክር ያቀርባሉ። እነዚህ ምክሮች ክፍትነቶችን እንዴት እንደሚያስወግዱ የተዘረዘረ እርምጃ ይያዙና ድርጅቱ ለራሱ መካኒዙሙ ገና ተስፋፋ የተጨቅላ መፍትሄ ይቀርባል። ተጨማሪም የተቀረበው የስዥማ ሙከራ ውጤቶች የደህንነት ቡድኖች ለስርአቶቹ የድክመቶችን የሚተካቸውን ለማስፈንጠር እና ወደፊት ተስፋፋ ዓይነቶችን የሚያስቀርባቸውን የሚጠቅማቸውን ድርሻ ይሰጣል። በዚህ መሰረት ስዥማ ሙከራዎች ብቻ እንደ ቁጥጥር መሳሪያ ሳይኖሩ ዘላቂ የማሻሻል ሂደት አካል ይሆናሉ።

ስዥማ ሙከራው የድርጅት የሲበር ደህንነት ስትራቴጂዎች የተሸከሙ አካል ነው። በመደበኛው መሥሪያ የሚተካው ስዥማ ሙከራ የስርአቶች ዘላቂ ሙከራና ክፍትነቶችን ቅድመ ሁኔታ ማስወገድ ይሰጣል። ይህም የድርጅቶቹ በሲበር ተጥምዎች ላይ የትኩረት አካልን ማድረግና የኢንተርፕሬድንስ ይጠቅማቸዋል።

የደህንነት ክፍትነት ማረም ከህልውና ሙከራ ጋር የተያያዘው ቦታ ምንድን ነው?

ህልውና ሙከራና የደህንነት ክፍትነት ማረም, የኔታዊ ድርጅት የደህንነት ሁኔታን ለማሻሻል የተዘጋጁ አስፈላጊ የደህንነት ግምገማ ዘዴዎች ናቸው። በመሠረታዊ ልዩነታቸው ባለሙጠነታቸውም, እነዚህ ሁለት ሂደቶች በደህንነት ክፍትነቶች እንዲገኙና እንዲታሰሩ ለየትኛውም ዓላማ የሚያገለግሉባቸው ቦታ ያቀርባሉ። ሁለቱም በሲስተሞች ውስጥ ያሉ ደካማነቶችን እየገለጹ ድርጅቶች በሳይበር ጥቃቶች ፊት የበለጠ የመከላከያ ችሎታ እንዲኖራቸው ይረዳቸዋል።

የደህንነት ክፍትነት ማረም, ብዙ ጊዜ እንደህልውና ሙከራ ቀደም የሚሆን አካል ይቆጠራል። ማረሞች በተሰፋፋ የሚታወቀውን ደካማነት በፍጥነት ሊታወቅ ይችላሉ፣ ህልውና ሙከራ ግን የእነዚህ ደካማነቶች በተፈጥሮ ቀይር ላይ ያሉ ተጽዕኖዎችን በቅርበት ይመርምራል። በዚህ አይነት, የደህንነት ክፍትነት ማረም, ህልውና ሙከራ ስለ ቅድሚያና ስለ አንከባከብ ዋጋውን የሚሰጥ እውነት መረጃ ይደርሳል።

• የሁለት ሙከራዎች ተያያዥ ነገሮች
• ሁለቱም በሲስተሞች ውስጥ የደህንነት ክፍትነቶችን ለማግኘት ይመለከታሉ።
• በድርጅቶች የደህንነት ሁኔታ እንዲጠነከር ይረዳቸዋል።
• ደህንነትን ለማጠናከርና የውሂብ መከላከያን ለማስተካከል የሚስቀመጡ ዘዴዎች ናቸው።
• የውል ቅድመ ተሳሳትን ለማሟሟ በሚያደርጉ መተካት ዋና ፅንሰ-ሀሳት ናቸው።
• የደህንነት አእምሮን በመጨረሻ የደህንነት ፖሊሲዎችን ለማግኘት ይተዋወቃሉ።

በሌላ ወገና, የህልውና ሙከራ ውጤቶች, የደህንነት ክፍትነት ማረም መሣሪያዎች ውጤትን ለመፅናናት ሊውል ይችላሉ። ለምሳሌ, በህልውና ሙከራ ውስጥ የተገኘና ማረም አልታወቀውም ከሆነ ደካማነት, በማረም መሣሪያዎች በሚያወቅበት የቅር ውክልና የማይኖር መሆኑን ያሳያል። ይህ የአግባብ ትይይት ዙርያ የደህንነት ግምገማ ሂደቶቹ በአግድ መቅረፅ ቀጥሎ እንዲሻሻሉ ያስችላል።

ህልውና ሙከራና የደህንነት ክፍትነት ማረም እርስ በርስ የሚጨምሩና በማኅበራዊነት የሚሰሩ የደህንነት ግምገማ ዘዴዎች ናቸው። ሁለቱም ድርጅቶች የሳይበር ደህንነት ህይወታቸውን እንዲረዱና እንዲቀንሱ ይረዳቸዋል። ለተሻሻዎ ውጤቶች, ይህንን ሁለት ዘዴዎች በአንድነት ማጠቅለያና በተደጋጋሚ የማድረግ ይመከራል።

ስዝማ ሙከራ ሙከራና የአደጋ ዕድሉ አሳየት ለውጤትና ምክሮች

ስዝማ ሙከራ እና የአደጋ ዕድሉ አሳየት የተቋማት የደህንነት እድገትን ለመገምገም የሚጠቀሙ ሁለት መሰረታዊ ዘዴዎች ናቸው። ሁለቱም አኩራን መረጃዎች ቢስጡም፣ ዓላማ፣ መሳሪያዎችና ውጤቶቻቸው በተለያዩ አረንጓዮች ናቸው። ስለዚህ፣ የተለያዩ ዘዴዎችን በምንጊዜ መጠቀም እንደምትሆን ወስነት ይችላል ለተቋማቱ ልዩ ውሉና ዓላማዎቻቸው። የአደጋ ዕድሉ አሳየት በስርዓቶች ውስጥ የታወቀ ድክመት ሁኔታዎችን በማበረታታት ያጠናክረዋል፤ ስዝማ ሙከራ ግን ይበልጥ ውስብስብ ትንተና ማድረግ በተቻለ ሁኔታ የታየ ድክመት በእውነት ዓለም እንዴት የተንቀሳቃስና መፍትሄዎችን የሚያሳይ ማኅበረሰብ ነው።

ይህንን ሁለት ዘዴዎችን በማንኛውም ጥናት በመከናወን ውሳኔዎን በቀላሉ ትደርሳለህ። በታች ያለው ጠረጴዛ ስዝማ ሙከራና የአደጋ ዕድሉ አሳየት የቃል ገቢዎቻቸውን በውስብስብ ሁኔታ ያሳያል፦

በታች በውጤቱ ላይ ሲደርሱ፣ የሚያላችሁና የማዕቀፉን መሣሪያዎችን ሲወጡ በዚህ በደሞዝ፣ በመፍትሄና በእሴት ጥያቄዎች የሚስማሩ አስፈላጊ እርምጃዎች አሉ፦

እርምጃዎች በውጤት ላይ ሊሰድዱ
1. ቅድሚያ ማሰናከያ: የተገኙ የአደጋ ዕድላትን በየደህንነት ደረጃዎች ቅድሚያ ስጡ። አስፈላጊ ድክመት በቅንጅት አለበት።
2. የማድነት: የአደጋ ዕድሉን ለማስወገድ አስፈላጊ የድክመት ስራዎችን ተግባራዊ ያድርጉ ወይም የስርዓት ሁኔታ ይቀይሩ።
3. ማረጋገጫ: የታደጉ ማስወገዶች ግልጽነትን ለማረጋገጥ የአደጋ ዕድሉ አሳየት ወይም ስዝማ ሙከራ ድጋፍ ያድርጉ።
4. መሻሻያ: የተቋማትን ሂደቶችና ፖሊሲዎችን ተመልከቱ፣ በፊት የተፈጸመ ስህተት እንዲያገኙ ትካፈሙ።
5. አስተማማን: ሰራተኞችን ስለደህንነት ተማሩ፣ የደህንነት አሳየትን ያስጨነቡ እና የሰው ጉዳተኛ ድክመትን በቅንጅት ማስቀናት ይችላሉ።

ማስታወሻ ይሁን፣ ደህንነት አጥኙ ሂደት ነው። ስዝማ ሙከራ እና የአደጋ ዕድሉ አሳየት ይህ ሂደት አስፈላጊ አካል ናቸው፣ ነገር ግን አንዳንዴ ብቻ በቃል የሚሆን አይደለም። ተቋማት የደህንነት እድገታቸውን በጥናት፣ በግምገማና በሻሻል የሚከተሉ አሇቸው። በደህንነት ግምገማዎች ላይ ተደጋጋሚ ተግባር መያዝና የአደጋ ዕድሉን ከጥቂት ቀዳዳዎች አጋጣሚ ማድረግ የሚሆነው በሳይበር አጥነታቸው ላይ ይህንን ተሞክሮ ማሳያ ይሰጣቸዋል።

ብዙ ጊዜ የተጠየቁ ጥያቄዎች

የሰብስቦ ሙከራ እና የደህንነት የውስንነት ትንተና መካከል ዋና የአላማ ልዩነት ምንድነው?

የደህንነት የውስንነት ትንተና በሴርቨር ላይ ያሉ አብረኛ ድንጋጌነቶችን ማስታወቅ እንዳለበት ያገለግላል፣ እና የሰብስቦ ሙከራ ደግሞ እነዚህን ድንጋጌነቶች በመጠቀም በሴርቨር ላይ በታዋቂ ግጭት ምሳሌ ተደርጎ በመታጠብ በሴርቨሩ የሚቀናበሩ ደህንነት ደረጃን ማስታወቅ ያስታውቃል። የሰብስቦ ሙከራ የደህንነት የውስንነት ትንተናዎች በዓለም የተሰማሩ ቅድመ ግጭት ውስጥ የሚያሰዳድን ተጽናና ያስገኛል።

ምን አይነት ክስተት ሲኖረው የሰብስቦ ሙከራ ከደህንነት የውስንነት ትንተና በላይ ይቀየራል?

በአንዳንድ ጊዜ በግምት ሰርቨሮችና በበላይ ቆጣቢ ውስጥ ያሉ ዳታዎች ሲኖሩ፣ የደህንነት ቀደም በሙሉ በሙሉ የሚመዘገበበት ጊዜ፣ የህጋዊ ደንቦችም የሚጠየቅበት ወቅት፣ ወይም ቀደም ብቻ የአሳደጉ የደህንነት አደጋ ተደርጎ ከነበር የሰብስቦ ሙከራ ይመደባልና ከፍተኛ ቅድመ ትንተና ይሁን ይሆናል።

የደህንነት ውስንነት ትንተናዎች ውጤቶች እንዴት ይተሰምታሉ እና ምን አይነት እርምጃዎች ይወሰዳሉ?

የደህንነት የውስንነት ትንተናዎች ውጤቶች ሁሉም የተገኙ ድንጋጌነቶች እንደ ደህንነት ሚያዛዥ ተደርገው መሸከም አለባቸው፣ እና ቅድመ ልዩነት መስጠት አለበት። ከዚህ በኋላ፣ የተገኙ አደጋዎችን ለማግኘት በሚመከር ውስን እርምጃዎች (patch) አድርጉ። አደረጋዊ ቅንጅት በአጠቃላይ ይደርጉ፣ ወይም አብረኛ ደህንነት እርምጃዎች ይወሰዱ። በየጊዜው የሚደርሰው የትንተና እና የማረም እርምጃ በሚገባ በውስን የሚሰራውን አስቸጋላ እየተናገሩ መሰከር አለበት።

በሰብስቦ ሙከራ የሚጠቀሙት 'black box', 'white box' እና 'grey box' አቀራረቦች መካከል ምን ልዩነት አለ?

'Black box' ሙከራ ሲደርግ የሙከራ ባለሙያ ሴርቨሩን በሙሉ ምንም መረጃ አያገኝም፣ እና በውጭ ግጭት ግብር ያለ የተቋቋሙ ቅድመ ፈተና እያደረጉ ይቀናበራሉ። 'White box' ሙከራ ደግሞ የሙከራ ባለሙያ ሙሉ መረጃ ያገኛል። 'Grey box' ሙከራ ሲደርግ በመካከለኛ መጠን መረጃ አለው። አካሄድ ወደ ቅድሚያ እያደረጉ አንዳንድ ጊዜ በተገባ ትክክለኛ የሆነው ቅድመ አስፈላጊነቱና አካሄዱ መሠረቱን ይሰር የሚያስፈልጋቸውን የማቻለዎት ተግባር አለ።

በሰብስቦ ሙከራና የደህንነት ውስንነት ትንተና ሂደቶች ላይ ምን ያስገባው ጒዳይ አለ?

በሁለቱም ሂደቶች መጀመሪያ የሚተወለው ክስተት ፍርድ አውራን በትክክል ግንዛቤ ግለጽ ያደረጉና። የሙከራና የቅንጅት ዘመናትን፣ ማረም አቅናትን በአትወድቅ መረጃ ታየው ያተኩረ መሆን አለበት። ከዚህ በተጨማሪ፣ ከቅዱሳን ሰቦች ፍቃድ ማግኘት፣ የሙከራ ውጤቶች ህጋዊነትን ማስተናገድ፣ እና የተገኙ ደህንነት አደጋዎችን በፍጥነት ማግኘት የሚፈልጉ እርምጃዎች መውሰድ ይገባዋል።

የሰብስቦ ሙከራ ወጪ ምን በኩል ይለዋዋጣል እና የቦጀት ውሳኔ እንዴት ይደረጋል?

የሰብስቦ ሙከራ ወጪ እንደ አካባቢ ውስንነቱ፣ የሴርቨሩ ቅድመ-አመራር አላማዎች፣ የተጠቀሙ ዘዴዎች፣ የሙከራ ባለሙያ ልምድ፣ እና የሙከራ ወቅት በኩል ይለዋዋጣል። ቦጀት ስብስብ ሲደርጉ ሙከራው ዓላማዎችና ተግባራት አካባቢ ይተወላል፣ ለፈላጊ ሸምበቆ ቅድሚያ ትንተና ማስመዝገብ እና በሚጠቀሙ የሰብስቦ ሙከራ ሰብስቦች ከተለያዩ ቤተአሉ ሰነዳዎችና ቅድሚያ የዚህ ሂደትን ቅድመ እይታ ማከል ጥራት ይታወቃል።

የደህንነት ውስንነት ትንተና እና የሰብስቦ ሙከራ በምን ቅድሚያ /ጊዜ ይደርጋሉ?

የደህንነት ውስንነት ትንተና ከሴርቨሩ አዲስ ሶፍትዌር ስትገባ፣ የቅንጅት ማሻሻያ ሲደርግና በቢያንስ ወር በየሳምንቱ ወይም በየሶስቱ ወራት ይደርጋል። አካባቢ ለሆነው የሰብስቦ ሙከራ አስፈላጊ ሳይኖረው በዓመቱ በየአንደኛዎቹ አይነት መደበኛ ሙከራም አስረዳዊ እንደሆነ ተገልጿል። በቅድሚያ ሴርቨሮች በቅድሚያ እርምጃ ይጨምሩ ይችላሉ።

በሰብስቦ ሙከራ ተከትሎ የተገኙ ቅፅበት በሚገኙት ትንተና ሪፖርት መሆን አለበት?

የሰብስቦ ሙከራ ሪፖርት የተገኙ የደህንነት ውድቀቶችን ዝርዝር በየቅድመ ትንተና ያቀርታል፣ የአደጋ ደረጃዎችን፣ የተጎዱ ሴርቨሮችን፣ እና የተዘጋጁ የፍትህ መፍትሄዎችን ያስሰብናል። ሪፖርቱም የቴክኒክና የአስተዳደር ንግግር በአውስራዊ ያቀርባል፣ በአካባቢ ቴክኒክ ሰራተኞችና አስተዳደር ግዜ በቅድመ አስማታት ይሰርዋልና አስፈላጊን እርምጃ እጅ አብራል። ምሳሌ የሚከተሉ የማይታወቅ ቅፅበቶችና እና የማንዳው ማሳያዎችን (ለምሳሌ፣ የስክሪን ምስል) ያቅርባል።