وبسایت فقط یک در ورودی است. تست نفوذ شبکه نشان میدهد مهاجم پس از عبور از لبه — یا با یک لپ‌تاپ داخل دفتر شما — تا کجا می‌تواند پیش برود.
از لبه‌ی اینترنت تا عمق شبکهی داخلی — هر نقطه‌ای که مهاجم می‌تواند از آن وارد شود یا در آن پیش برود.
تست نفوذ شبکه و تست نفوذ وب دو پرسش متفاوت را پاسخ میدهند و جای یکدیگر را نمی‌گیرند. تست وب می‌پرسد: «آیا برنامهی من اجازه میدهد کاربری کاری کند که نباید؟» تست شبکه می‌پرسد: «اگر مهاجم به شبکه رسید، تا کجا می‌تواند پیش برود و چه چیزی جلویش را می‌گیرد؟» اولی مسئله‌ی کد و منطق است، دومی مسئله‌ی پیکربندی، وصله و معماری.
در عمل این دو به هم وصل میشوند و همین‌جاست که ارزش ترکیب معلوم میشود: یک آسیبپذیری وب — مثلاً SSRF یا آپلود فایل مخرب — می‌تواند نقطه‌ی ورود به شبکه باشد، و از آنجا به بعد آنچه اهمیت پیدا میکند جداسازی شبکه، سطح دسترسی حساب سرویس و پایش است. برای همین معمولاً پیشنهاد ما این است که ابتدا وب کامل آزموده شود و سپس یک ارزیابی شبکه که همان مسیر را ادامه میدهد.
چارچوب اجرای پروژه بر پایه‌ی فازهای PTES و راهنمای NIST SP 800-115 (برنامه‌ریزی، اجرا شامل کشف و حمله، و گزارش‌دهی) ساخته میشود و شدت یافتهها با CVSS امتیاز می‌گیرد. توجه: «انطباق با PTES» یا «گواهی PTES» چیزی نیست که وجود داشته باشد — PTES یک چارچوب مفهومی برای ساختاردهی به پروژه است، بدون نهاد ناظر و بدون برنامهی صدور گواهی.
ارزیابی هرچه از سازمان شما روی اینترنت دیده میشود: سرورها، VPN، درگاه‌های ریموت، ایمیل و سرویس‌های در معرض. هدف: یافتن مسیر ورود پیش از مهاجم.
مرحله‌ی اول معمولاً کشف است، نه حمله — و اغلب همین مرحله بیشترین ارزش را دارد. سازمان‌ها تقریباً همیشه سرویس‌هایی روی اینترنت دارند که خودشان از وجودشان بی‌خبرند: یک محیط تست قدیمی، پنل مدیریت یک تجهیز، یا سروری که قرار بود موقت باشد. شناسایی و نگاشت سطح حمله، اولین خروجی این ارزیابی است.
شبیه‌سازی مهاجمی که به شبکهی داخلی دسترسی پیدا کرده (کارمند ناراضی، لپ‌تاپ آلوده، وای‌فای مهمان): حرکت جانبی، ارتقای سطح دسترسی و رسیدن به دارایی‌های حیاتی.
فرض شروع این آزمون مهم است: فرض نمی‌کنیم مهاجم از بیرون نفوذ کرده؛ فرض می‌کنیم به هر دلیلی داخل است. این «فرض نفوذ» همان چیزی است که تفاوت میان یک شبکهی مقاوم و یک شبکهی صرفاً محافظت‌شده‌در‌لبه را آشکار میکند.
بررسی پیکربندی روتر و فایروال، رمزهای پیشفرض، فریم‌ور قدیمی، پنل‌های مدیریتی در معرض و قواعد دسترسی بیش از حد باز.
ارزیابی دامنهی ویندوزی (Kerberoasting، تنظیمات ناامن GPO، اعتبارنامه‌های قابل استخراج) و امنیت شبکهی بی‌سیم و جداسازی شبکهی مهمان.
در محیط‌های سازمانی، مسیر رسیدن به بالاترین سطح دسترسی معمولاً از یک آسیبپذیری چشمگیر نمی‌گذرد، بلکه از زنجیره‌ای از تنظیمات به‌ظاهر بی‌ضرر می‌گذرد: یک حساب سرویس با دسترسی بیش از نیاز، یک رمز در اسکریپت اشتراکی، یک گروه با عضویت فراموش‌شده.
آزمون اینکه بخش‌های شبکه واقعاً از هم جدا هستند: آیا شبکهی مهمان به شبکهی داخلی میرسد؟ آیا محیط پرداخت از بقیه‌ی شبکه ایزوله است؟ آیا سیستم‌های با سطح امنیتی متفاوت واقعاً از هم جدا شده‌اند؟
برای مجموعههای مشمول PCI DSS v4.0.1، راستیآزمایی کنترل‌های جداسازی در بند ۱۱.۴.۵ دستکم سالی یکبار و پس از هر تغییر در این کنترل‌ها الزامی است — و برای ارائه‌دهندگان سرویس، هر شش ماه.
بررسی پیکربندی منابع ابری در معرض: فضاهای ذخیره‌سازی با دسترسی عمومی، گروه‌های امنیتی بیش از حد باز، پنل‌های مدیریتی بدون محدودیت IP و اعتبارنامه‌های ایستای جاسازی‌شده.
پیکربندی نادرست در OWASP Top 10:2025 به رتبه‌ی دوم رسیده است و در محیط ابری، رایج‌ترین علت افشای داده همین است — نه یک آسیبپذیری پیچیده.
پنج گام، با محدوده و مجوز مکتوب پیش از شروع. هیچ بازه‌ی IP یا تجهیزی خارج از فهرست توافقشده لمس نمی‌شود.
مواردی که تقریباً در هر ارزیابی شبکهی سازمانی با آن روبه‌رو می‌شویم:
نکته‌ی مشترک تقریباً همهی این‌ها این است که هیچ‌کدام آسیبپذیری پیچیده‌ای نیستند؛ نتیجه‌ی پیکربندی رهاشده و دارایی فراموش‌شده‌اند — و برای همین هم سریع قابل رفع‌اند.
پرسش‌هایی که مدیران زیرساخت پیش از سفارش ارزیابی می‌پرسند.
تست نفوذ وب روی برنامهی کاربردی و منطق آن تمرکز دارد — کنترل دسترسی، احراز هویت، تزریق و منطق کسبوکار — و پوشش آن از OWASP WSTG میآید. تست نفوذ شبکه روی زیرساخت است: سرورها، تجهیزات، پروتکلها، جداسازی و دامنهی ویندوزی. سازمانهایی که هر دو را دارند معمولاً هر دو ارزیابی را انجام میدهند، و ترتیب متداول این است که وب اول برود چون معمولاً در معرضترین دارایی است. توضیح کامل تست نفوذ ←
خیر. آزمونهای مخرب و اختلالزا (مانند DoS) بهصورت پیشفرض خارج از محدودهاند مگر با درخواست صریح شما، و تستهای حساس در پنجرهی زمانی توافقشده اجرا میشوند.
یا با حضور کارشناس در محل، یا با نصب یک دستگاه/ماشین مجازی واسط که دسترسی کنترل‌شده به شبکهی داخلی میدهد — بسته به شرایط و سیاست سازمان شما.
حداقل سالی یکبار، و علاوه بر آن پس از هر تغییر مهم در زیرساخت: افزودن سرویس جدید، تغییر معماری شبکه یا جابهجایی مرکز داده. برای مجموعههای مشمول PCI DSS v4.0.1، بندهای ۱۱.۴.۲ و ۱۱.۴.۳ آزمون داخلی و خارجی را دستکم هر ۱۲ ماه و پس از هر تغییر بااهمیت الزامی کردهاند و بند ۱۱.۴.۴ تکرار آزمون برای راستیآزمایی رفع را اجباری میکند.
نه. اسکنر فهرستی از سرویسها و نسخهها را با پایگاه آسیبپذیریهای شناختهشده تطبیق میدهد و خروجی میدهد — کاری مفید، خودکار و ارزان، اما پر از موارد کاذب و بدون درک زمینه. تست نفوذ آن یافتهها را راستیآزمایی میکند، آنها را به هم زنجیر میکند و نشان میدهد ترکیبشان در شبکهی شما عملاً به کجا میرسد. اسکن به شما فهرست میدهد؛ تست نفوذ به شما مسیر میدهد.
گزارش دوسطحی: خلاصهی مدیریتی با تصویر کلی ریسک، و بخش فنی با نگاشت سطح حمله، هر یافته بههمراه گامهای بازتولید، شواهد، شمارهی CWE و شدت CVSS، و راهکار رفع اولویتبندیشده. مدت پروژه به تعداد میزبانها و دامنهی کار بستگی دارد: یک ارزیابی خارجی روی چند ده IP معمولاً چند روز کاری، و یک ارزیابی داخلی کامل با Active Directory دو تا سه هفته. ساختار گزارش را ببینید.
معمولاً نه — و صادقانه همین را میگوییم. اگر همهی دارایی شما یک وباپلیکیشن روی یک سرور یا سرویس ابری است، بودجهتان در تست نفوذ وب بازده بسیار بیشتری دارد. ارزیابی شبکه وقتی معنا پیدا میکند که شبکهی داخلی، دامنهی ویندوزی، تجهیزات متصل یا چند سرویس در معرض اینترنت داشته باشید. تفاوت حوزهها را در حوزههای تست نفوذ توضیح دادهایم.
در یک جلسه‌ی رایگان محدوده و روش ارزیابی شبکهی شما را مشخص می‌کنیم — و اگر به نظرمان بودجه‌ی شما در تست نفوذ وب یا امن‌سازی سایت بازده بیشتری دارد، همان را میگوییم.