پنتست چیست؟ کار روزانه کارشناس تست نفوذ، شرایط استخدام و درآمد پنتستر

در فهرست شهریه ۱۴۰۵ آموزشگاه‌های آزاد فنی و حرفه‌ای تهران، استانداردی به اسم تست نفوذ نیست و دوره‌های امنیت شبکه و Security+ نزدیک‌ترین گزینه‌اند؛ جزئیات ساعت و شهریه‌شان در صفحه گروه آمده است. پیش از ثبت‌نام در هر دوره، بپرس چند ساعتش تمرین عملی در آزمایشگاه است و آیا نوشتن گزارش هم درس داده می‌شود.

پنتست کوتاه‌شده Penetration Test است و در فارسی به آن تست نفوذ یا آزمون نفوذ می‌گویند. در تعریف استانداردهای امنیت، ارزیاب حمله واقعی را شبیه‌سازی می‌کند تا ببیند می‌شود از سد حفاظت یک برنامه، سیستم یا شبکه گذشت یا نه. نکته‌ای که پنتست را از یک اسکن ساده جدا می‌کند، ترکیب ضعف‌هاست: یک ایراد کوچک شاید به‌تنهایی بی‌خطر باشد، اما کنار دو ایراد دیگر راهی به داده حساس باز کند.

برای کسی که می‌خواهد این کار را شغل خودش کند، سه کلمه تعریف را کامل می‌کند:

• مجاز: پیش از اولین درخواست، صاحب سیستم کتبی اجازه داده و اسم و مسئولیت هر دو طرف روشن است.
• محدود: آدرس‌ها، برنامه‌ها، ساعت‌ها و کارهای ممنوع از قبل نوشته شده‌اند و پنتستر از آن بیرون نمی‌رود.
• مستند: هر یافته با شاهد، شدت و راه رفع در گزارش می‌آید؛ کاری که ثبت نشود، برای کارفرما انجام نشده است.

پنتستر کیست و اسم‌های دیگرش چیست؟

پنتستر همان کارشناس تست نفوذ است. در آگهی‌های ایرانی با عنوان‌هایی مثل کارشناس آزمون نفوذ، کارشناس تست امنیت، متخصص تست نفوذ وب، کارشناس تیم قرمز و Offensive Security Engineer هم دیده می‌شود. عنوان‌های ارشدتر مثل سرپرست تیم تست نفوذ و Red Team Operator معمولا چند سال سابقه همین کار را می‌خواهند. صفحه گروه این شغل، یعنی هکر کلاه سفید، فرق تست نفوذ با ارزیابی آسیب‌پذیری و باگ‌بانتی را توضیح داده است؛ این صفحه روی خود کار و آدمی که آن را انجام می‌دهد تمرکز دارد.

بیشتر وقت یک پنتستر صرف خواندن، فکر کردن و نوشتن می‌شود، نه صحنه‌های فیلم‌ها. باید بفهمد یک سامانه برای چه کاری ساخته شده، کجا به داده مهم می‌رسد و کدام رفتارش با چیزی که سازنده‌اش انتظار داشته فرق دارد. بعد باید همین را طوری بنویسد که هم مدیر بفهمد و هم برنامه‌نویس بتواند درستش کند.

استانداردهای رایج این کار، مثل PTES که هفت بخش اصلی دارد و راهنمای آزمون امنیت وب OWASP که نسخه پایدارش ۴٫۲ است، اسم مرحله‌ها را کمی متفاوت می‌گذارند؛ اما اسکلت پروژه در بیشتر شرکت‌ها همین شش مرحله است. ۲۵ آگهی از ۴۱ آگهی آبان ۱۴۰۵ دست‌کم یکی از این روش‌شناسی‌ها را اسم برده بودند.

۱. محدوده و قرارداد

پیش از هر کار فنی، با کارفرما روی هدف‌ها، نوع آزمون، زمان‌بندی، فرد رابط و کارهای ممنوع توافق می‌شود. نتیجه، سندی است که پنتستر در تمام پروژه به آن برمی‌گردد.

۲. شناخت هدف

پنتستر سامانه را مثل یک کاربر کنجکاو می‌شناسد: چه بخش‌هایی دارد، چه نقش‌هایی در آن تعریف شده و داده‌ها از کجا به کجا می‌روند. هر چه این مرحله دقیق‌تر باشد، وقت کمتری در مرحله‌های بعد هدر می‌رود.

۳. پیدا کردن ضعف‌های احتمالی

ابزارهای خودکار فهرستی از ایرادهای ممکن می‌دهند، ولی بخش زیادی از این فهرست هشدار نادرست است. کار کارشناس این است که با دانش خودش ببیند کدام مورد واقعی است و کدام نیست.

۴. آزمون تایید

برای ضعفی که واقعی به نظر می‌رسد، پنتستر با کم‌خطرترین راه ممکن نشان می‌دهد که قابل استفاده است. یکی از آگهی‌ها همین را این‌طور نوشته بود: طراحی شاهد ایمن و کم‌ریسک، با رعایت کامل محدوده و بدون آسیب به سرویس یا داده واقعی.

۵. گزارش

یافته‌ها با شدت، شاهد و پیشنهاد رفع نوشته می‌شوند. ۲۰ آگهی گزارش‌نویسی را صریح جزو کار یا مهارت لازم آورده بودند.

۶. بازآزمون

بعد از اینکه تیم فنی ایرادها را بست، پنتستر همان موارد را دوباره آزمایش می‌کند تا مطمئن شود واقعا بسته شده‌اند. چند آگهی تست مجدد پس از اصلاح را جدا اسم برده بودند.

قانون جرایم رایانه‌ای در ۵ خرداد ۱۳۸۸ در مجلس تصویب شد و ۲۰ خرداد همان سال به تایید شورای نگهبان رسید. ماده ۱ آن دسترسی غیرمجاز به سامانه‌ای را که با تدابیر امنیتی حفاظت شده، با حبس ۹۱ روز تا یک سال یا جزای نقدی یا هر دو مجازات می‌کند. صفحه گروه این شغل همین ماده را توضیح داده است. برای کسی که در یک پروژه واقعی کار می‌کند، دو ماده دیگر هم مهم است:

• ماده ۸: حذف، تخریب یا مختل کردن داده‌های دیگری به‌طور غیرمجاز؛ حبس شش ماه تا دو سال یا جزای نقدی یا هر دو.
• ماده ۹: از کار انداختن یا مختل کردن سامانه دیگری به‌طور غیرمجاز؛ همان حبس شش ماه تا دو سال یا جزای نقدی یا هر دو.

کلمه مشترک همه این مواد «غیرمجاز» است. چیزی که کار پنتستر را مجاز می‌کند، اجازه صاحب سیستم است و حدود این اجازه را قرارداد مشخص می‌کند. کاری که بیرون از آن حدود انجام شود، پشتوانه قرارداد را ندارد. این متن مشاوره حقوقی نیست؛ برای قرارداد واقعی با وکیل یا واحد حقوقی کارفرما مشورت کن.

بندهایی که در یک قرارداد خوب دیده می‌شود

• محدوده: فهرست دقیق آدرس‌ها، برنامه‌ها و شبکه‌هایی که آزمون می‌شوند و فهرست چیزهایی که بیرون از محدوده‌اند.
• قواعد اجرا (Rules of Engagement): چه روش‌هایی مجاز است، چه کارهایی ممنوع است و آزمون در چه ساعت‌هایی انجام می‌شود.
• مالکیت و اجازه: کسی که امضا می‌کند باید اختیار آن سیستم را داشته باشد؛ اگر سرور یا سرویس در اختیار شرکت دیگری است، اجازه آن هم لازم است.
• رابط و توقف اضطراری: شماره کسی که اگر سرویسی کند شد یا مشکلی پیش آمد، باید فوری خبر داشته باشد.
• داده‌ها و رازداری: با اطلاعاتی که در آزمون دیده می‌شود چه می‌کنند، کجا نگه می‌دارند و چه زمانی پاک می‌کنند.
• گزارش و بازآزمون: گزارش به چه کسی و در چه قالبی تحویل می‌شود و آیا بعد از اصلاح، دوباره آزمون انجام می‌شود.

۵ آگهی از ۴۱ آگهی آبان ۱۴۰۵ صریحا به محدوده یا قواعد اجرا اشاره کرده بودند؛ یکی نوشته بود همه فعالیت‌های تست نفوذ فقط در محدوده تعیین‌شده انجام می‌شود. پنتستری که به این بندها حساس است، برای کارفرما کم‌خطرتر است و این در مصاحبه هم دیده می‌شود.

بیشتر کارفرماها شرکت‌های فناوری اطلاعات و نرم‌افزار بودند، ۲۸ آگهی از ۴۱ آگهی؛ بعد خدمات آنلاین با ۴ آگهی و مخابرات با ۳ آگهی. یک آگهی هم از هر کدام از بانک‌ها، شرکت‌های مالی، حمل‌ونقل و تبلیغات بود. ۳۸ آگهی تمام‌وقت بودند، ۲ آگهی پروژه‌ای و ۱ آگهی پاره‌وقت؛ ۴ آگهی هم امکان دورکاری داشتند. شهرهای دیگر با یک آگهی: ساری، کرج و مشهد.

آگهی‌ها از پنتستر چه مهارتی می‌خواهند؟

• وب و API: ۳۱ آگهی وب و ۱۷ آگهی API را آورده بودند و ۲۲ آگهی استانداردهای OWASP را.
• ابزار و زبان: ۲۰ آگهی Burp Suite، ۱۹ آگهی پایتون و ۱۶ آگهی لینوکس را اسم برده بودند.
• شبکه سازمانی: ۱۴ آگهی Active Directory و ۷ آگهی محیط‌های ابری را خواسته بودند.
• مدرک: فقط ۷ آگهی یک مدرک بین‌المللی را اسم برده بودند، ۴ آگهی OSCP و ۳ آگهی CEH. ۵ آگهی سابقه باگ‌بانتی، مسابقه CTF یا ثبت آسیب‌پذیری را امتیاز دانسته بودند.
• هوش مصنوعی: ۵ آگهی از دو شرکت آشنایی با ابزارهای هوش مصنوعی را جزو شرایط آورده بودند.

شرایط استخدام: سن، سربازی، سابقه

• ۱۵ آگهی سال سابقه را صریح نوشته بودند: آگهی‌های سطح کارشناس ۱ تا ۴ سال و آگهی‌های کارشناس ارشد ۳ تا ۶ سال.
• ۲۳ آگهی رشته کامپیوتر یا فناوری اطلاعات خواسته بودند و ۲ آگهی مهندسی برق. ۱۲ آگهی زبان انگلیسی را شرط کرده بودند.
• ۸ آگهی کارت پایان خدمت می‌خواستند و ۱۱ آگهی امریه سربازی را جزو مزایا آورده بودند.
• ۲۴ آگهی بازه سنی داشتند و ۱۰ آگهی سقف سن را ۳۵ سال یا کمتر گذاشته بودند.
• پرتکرارترین مزایا: بیمه تکمیلی در ۲۶ آگهی، وام در ۲۱ آگهی و کمک‌هزینه دوره آموزشی در ۱۳ آگهی.

گزارش‌های معتبر حقوق ۱۴۰۵ تست نفوذ را جزو گروه امنیت شبکه حساب می‌کنند و عدد جداگانه‌ای برای پنتستر نمی‌دهند. جدول بالا همین گروه را در چهار سطح نشان می‌دهد. عدد دریافتی، حقوق خالصی است که شاغلان در پایان ۱۴۰۴ می‌گرفتند و عدد درخواستی، حقوقی است که برای ۱۴۰۵ می‌خواستند. فقط ردیف کارشناس تهران نمونه کافی داشت؛ سه ردیف دیگر را با احتیاط بخوان.

در تهران نیمی از کارشناسان این گروه بین ۲۸ تا ۴۱ میلیون تومان دریافت می‌کردند و درخواستشان برای ۱۴۰۵ بین ۳۷ تا ۵۹ میلیون بود. در شهرهای بزرگ دیگر، میانه دریافتی کارشناس ۳۰ میلیون بود. کارشناس ارشد در کل کشور میانه ۶۰ میلیون و مدیر ۷۹ میلیون دریافت می‌کرد.

حقوق پیشنهادی آگهی‌های آبان ۱۴۰۵

از ۴۱ آگهی فقط ۱۰ آگهی عدد حقوق داشتند. میانه حداقل پیشنهادشان ۶۵ و میانه حداکثر ۷۵ میلیون تومان در ماه بود. پایین‌ترین بازه ۲۵ تا ۴۵ میلیون برای سطح کارشناس بود و بالاترین ۲۰۰ تا ۲۲۰ میلیون برای یک آگهی کارشناس ارشد. سه آگهی دیگر کارشناس ارشد ۷۰ تا ۸۰ یا ۷۰ تا ۱۰۰ میلیون پیشنهاد داده بودند. با ده آگهی، این عددها نشانه است، نه قاعده؛ و آگهی‌هایی که عدد می‌نویسند معمولا همان‌هایی‌اند که پیشنهاد بالاتری دارند.

چه چیزی حقوق پنتستر را بالا می‌برد؟

• سابقه پروژه واقعی و گزارش‌هایی که بشود نمونه‌اش را بدون داده محرمانه نشان داد.
• رفتن از وب به حوزه‌های کمیاب‌تر مثل Active Directory، موبایل یا تیم قرمز.
• توانایی هدایت پروژه و حرف زدن با مدیر کارفرما، که در آگهی‌های سرپرست تیم دیده می‌شود.
• انگلیسی فنی خوب؛ ۱۲ آگهی آن را شرط کرده بودند.