عملاؤنا يطلبون تقرير اختبار اختراق الشبكة، ما الذي يُفحص بالضبط في بنيتنا التحتية خلال هذه العملية؟

في نموذج أمن المعلومات الذي أرسله عملاؤك، هل المطلوب بالضبط اختبار «الشبكة الخارجية» أم «الشبكة الداخلية»؟ الشركات المؤسسية أحيانًا ترسل قوالبها الجاهزة مباشرةً. إذا كانت واجهات API وخدمات الويب التي تعالج بيانات العملاء موجودة فقط على الخوادم السحابية، فيمكنكم تقليل التكلفة بعدم إدراج الشبكة الداخلية للمكتب في النطاق.

العناصر الأساسية التي تُفحص: منافذ SSH وRDP المتروكة مفتوحة، وخوارزميات تشفير خادم VPN، وثغرات نقل مناطق DNS، وبرمجيات خوادم الويب القديمة. خبراء الاختبار لا يُسقطون النظام؛ فعندما يجدون ثغرة يوثّقون الوضع بلقطة شاشة ويوقفون الخطوة قبل الانتقال إلى مرحلة رفع الصلاحيات أو قراءة البيانات.

واجهنا طلبًا مشابهًا العام الماضي، ودفعنا 180.000 RUB لبنيتنا المكوّنة من 4 خوادم في موسكو. استغرق الاختبار 4 أيام عمل، وإعداد التقرير 3 أيام. وجدوا ثغرتَي تصريح متوسطتَي الخطورة ومكتبة غير محدّثة. أجرينا التصحيحات وأعدنا الاختبار، ووافق عميلنا على التقرير دون مشاكل.

احذروا من يقدمون عروضًا في السوق بين 50.000 و70.000 RUB. معظمهم يشغّلون فقط برنامج فحص ثغرات آلي ويسلّمون ملف PDF الخام كمخرج على أنه تقرير. مدققو أمن العملاء المؤسسيين يكتشفون هذه الفحوصات السطحية فورًا ولا يقبلونها.

قبل توقيع العقد، وثّقوا هذه البنود الثلاثة كتابيًا: 1) إجراء الاختبارات خارج ساعات العمل وبما يتوافق مع خطط النسخ الاحتياطي، 2) الإبلاغ الفوري دون تأخير عند رؤية ثغرة حرجة أثناء الاختبار، 3) توفير إعادة اختبار مجانية لمرة واحدة خلال 30 يومًا بعد إغلاق الثغرات.

قبل ما يبدأ الاختبار خذوا نسخة snapshot لحظية لكل السيرفرات الوهمية، ضروري. يعني وكمان في الأيام المعلن فيها إجراء الاختبار لا تسووا أي تحديث كبير أو نشر كود جديد على البنية التحتية، لأن سجلات الترافيك بتختلط.

من المفيد أن تطلبوا شهادات التخصص لشركة التدقيق التي ستتعاملون معها. امتلاك الكادر التقني لشهادات معتمدة دوليًا في القرصنة الأخلاقية أو أمن الشبكات يضمن موافقة لجنة أمن المعلومات لدى عميلكم المؤسسي على تقرير التدقيق بسرعة.

أخذت ملاحظة، شكرًا لك.

حدث معنا هذا. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار. مثبت بالتجربة.

موضوع في الوقت المناسب تمامًا.

يجب إجراء تمييز هنا. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

دعني أترك تنبيهًا. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

محاولة فعل هذا بمفردك هي أغلى الطرق. لو كنت مكانك، لسلك هذا المسار.

هل يمكنك توضيح هذا أكثر؟ معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أنت محق تمامًا. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

أوافقك الرأي تمامًا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

أنا أيضًا متحمس لمعرفة ذلك. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر. دعني أتركها كملاحظة، قد تكون مفيدة.

مررت بهذا الطريق، دعني أشرح. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

مثبت بالتجربة.

أنا مشروع صغير، دعوني أشرح من منظوري. فعل الجميع لشيء ما لا يعني أنه صحيح.