کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب

کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب نوشته احسان امجدی، راهنمایی مفصل برای طراحی و اجرای تست‌های امنیتی روی وب‌سرویس‌ها و وب‌اپلیکیشن‌ها است که موسسه فرهنگی هنری دیباگران تهران آن را منتشر کرده است. نویسنده با تکیه‌ بر پروژه‌ی تست OWASP ساختاری مرحله‌به‌مرحله برای سنجش امنیت نرم‌افزارهای تحت وب ارائه کرده است؛ از سنجش آثار اقتصادی نرم‌افزار ناامن و مدل‌سازی تهدید گرفته تا طراحی فریم‌ورک تست، ادغام امنیت در چرخه‌ی توسعه‌ی نرم‌افزار و اجرای تست نفوذ. نسخه‌ی الکترونیکی این اثر را می‌توانید از طاقچه خرید و دانلود کنید.

درباره کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب

کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب تألیف احسان امجدی، اثری تخصصی و فرایندمحور است که بر مبنای استاندارد جهانی راهنمای تست امنیت وب (OWASP WSTG)، چرخه‌ی کامل ارزیابی امنیتی برنامه‌های کاربردی تحت وب را ترسیم می‌کند. 

احسان امجدی در فصل‌های آغازین با تحلیل پیامدهای اقتصادی نرم‌افزارهای ناامن، ضرورت سنجش‌پذیری امنیت را مشخص کرده و نشان می‌دهد که اقدامات انفعالی نظیر وصله‌زدن‌های مقطعی، جایگزین ارزیابی ساختاریافته نخواهند شد؛ از همین رو، لزوم ادغام ملاحظات امنیتی در سراسر چرخه‌ی حیات توسعه‌ی نرم‌افزار را از منظرهای مدیریتی، اقتصادی و فنی مورد تأکید قرار می‌دهد تا امنیت به بخشی جدایی‌ناپذیر از طراحی سیستم‌ها تبدیل شود.

کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب، روش‌شناسی‌های گوناگون ارزیابی شامل بازرسی دستی، مدل‌سازی تهدید، بازبینی سورس‌کد و آزمون‌های نفوذپذیری را در کنار فریم‌ورک‌های مرجع نظیر PTES، PCI DSS و NIST SP 800-115 تشریح می‌نماید. این اثر با مدل‌سازی مراحل پنج‌گانه‌ی توسعه وظایف تیم‌های توسعه و امنیت را تعیین کرده و در نهایت، فرایند ارزیابی وب‌اپلیکیشن‌ها را بر اساس سرفصل‌های دوازده‌گانه‌ی اوئسپ به‌ صورت گام‌به‌گام ارائه می‌دهد.

خلاصه کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب

کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب با تبیین این اصل راهبردی آغاز می‌شود که امنیت بدون سنجش‌پذیری و ارزیابی شاخص‌های اقتصادی و کسب‌وکاری، پدیده‌ای مهارناپذیر است. 

نویسنده با نقد رویکردهای انفعالی مبتنی بر وصله‌زدن (Patching) و فاصله‌ی زمانی آسیب‌پذیر میان افشای باگ تا رفع آن، لزوم ادغام آزمون‌های امنیتی را در سراسر چرخه‌ی حیات توسعه‌ی نرم‌افزار (SDLC) مدل‌سازی می‌کند؛ در این راستا، چارچوب جهانی OWASP نه به‌ عنوان یک چک‌لیست ایستا، بلکه به‌ مثابه‌ی راهنمایی عملیاتی معرفی می‌شود که اصول کلیدی نظیر نبود راه‌حل مقطعی (شاه‌کلید)، ضرورت خودکارسازی تست‌ها در خطوط CI/CD، طبقه‌بندی دارایی‌ها، تفکر مهاجم‌محور و مستندسازی پیوسته را مبنای سنجش امنیتی قرار می‌دهد.

در بخش‌های تحلیلی و اجرایی، کتاب به پیاده‌سازی گام‌به‌گام یک فریم‌ورک ارزیابی جامع در مراحل پنج‌گانه‌ی توسعه می‌پردازد؛ از تعیین خط‌مشی‌ها در پیشاتوسعه و مدل‌سازی تهدید در فاز طراحی، تا بازبینی ساختاریافته‌ی سورس‌کد (Code Review) در زمان برنامه‌نویسی، تست نفوذ در مرحله‌ی استقرار و پایش مداوم در فاز عملیات. 

کتاب با ارائه‌ی مثال‌های ملموسی نظیر پارامترهای پنهان و خطاهای رمزنگاری که از دید ابزارهای اسکن خودکار پنهان می‌مانند، بر تلفیق هوشمندانه‌ی بررسی‌های دستی و خودکار تأکید می‌کند و در نهایت، آزمون نفوذپذیری را بر پایه‌ی استانداردهای مرجعی چون NIST SP 800-115، PTES و دسته‌بندی‌های دوازده‌گانه‌ی اوئسپ (شامل تست‌های منطق تجاری، وب‌سرویس‌ها، API و آسیب‌پذیری‌های سمت کاربر) به‌ شکلی کاربردی فرموله می‌نماید.

چرا باید کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب را بخوانیم؟

کتاب به‌ جای تکیه‌ی کامل بر ابزارها و اسکنرها، روی ترکیب متعادل روش‌ها تأکید کرده است: بررسی دستی کد، مدل‌سازی تهدید، تست نفوذ، تحلیل استاتیک و داینامیک و بازرسی فرایندها و افراد. ساختار کتاب بر پایه‌ی پروژه‌ی تست OWASP شکل گرفته و دسته‌بندی ۱۲گانه‌ی تست‌ها را به‌ صورت منظم توضیح داده است؛ بنابراین خواننده می‌تواند از این اثر به‌ عنوان نقشه‌ای برای طراحی برنامه‌ی تست امنیت در سازمان خود استفاده کند. تأکید مداوم بر مستندسازی نتایج تست، تعریف شاخص‌های قابل‌اندازه‌گیری و سنجش آثار اقتصادی نرم‌افزار ناامن، این کتاب را به منبعی تبدیل کرده که امنیت را همزمان از زاویه‌ی فنی، مدیریتی و اقتصادی بررسی کرده است.

خواندن کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب را به چه کسانی پیشنهاد می‌کنیم؟

خواندن کتاب مروری بر مهمترین تست های امنیتی سرویس های تحت وب به متخصصان و علاقه‌مندان حوزه‌ی امنیت وب، تست نفوذ و هک و تست نفوذ پیشنهاد می‌شود. همچنین این راهنما به توسعه‌دهندگان وب، معماران نرم‌افزار و مدیران فنی که می‌خواهند امنیت را در چرخه‌ی توسعه‌ی محصولات خود ادغام کنند، توصیه می‌شود. دانشجویان رشته‌های مرتبط با فناوری اطلاعات و امنیت اطلاعات که به‌ دنبال آشنایی ساختارمند با پروژه‌ی تست OWASP و فریم‌ورک‌های تست امنیت هستند نیز می‌توانند از این کتاب استفاده کنند.