تظهر لنا نطاقات فرعية وخوادم كنا ناسيها، هل أداة EASM ضرورية فعلاً ولا مجرد مبالغة؟

سجلات شفافية الشهادات كنز حقيقي. أي شهادة استُخرجت لنطاقك سابقاً محفوظة في سجلات عامة. باستخدام أمر طرفي بسيط ومفتوح المصدر، يمكنك سحب كل هذه السجلات وضبط cron job للتأكد مما إذا كانت لا تزال تعمل على DNS. ستكتشف كل ما نسيتموه بدون أي تكلفة تراخيص.

نحن دفعنا العام الماضي 14.000 دولار سنوياً بسبب تخوف مشابه. طوال السنة، كل ما قدمه لنا النظام كان تنبيهاً لثلاثة نطاقات فرعية تجريبية منسية وشهادتين SSL قاربتا على الانتهاء. لما رأينا أنه لا يستحق المبلغ لم نجدد هذا العام، واستبدلناه بسكربت فحص أسبوعي بلغة Python كتبه أحد الزملاء في الفريق.

أغلب هذه البرامج في السوق عبارة عن واجهات جذابة تستعلم فقط من خوادم DNS العامة وقواعد بيانات فحص المنافذ. المسوقون يروجون لها وكأنها تقوم بسحر لا يعرفه أحد. دفع مبالغ طائلة من الشركات الصغيرة لهذه اللوحات مجرد تكتيك بيعي يتغذى على مخاوف الشركات.

أول شيء يجب عليكم فعله اليوم هو حذف جميع سجلات CNAME غير المستخدمة من لوحة DNS. سجلات CNAME المتروكة التي تشير إلى مزودي خدمة قدامى تفتح الباب لهجمات الاستيلاء على النطاقات الفرعية. قبل التفكير في شراء أداة، نظفوا السجلات الزائدة من لوحة النطاق الحالية.

صار معنا نفس الموقف بالفريق، والمتدرب عندنا سحب سجلات cert transparency من التيرمنال وطلع عناوين الـ staging القديمة بـ 15 دقيقة وبصراحة بدل ما تدفعوا 15 ألف دولار سنوياً، برأيي استثمروها في فحص أمني وتجارب اختراق أفضل.

من منظور تقييم المخاطر المؤسسية، يعد تحديث جرد الأصول باستمرار أمراً مطلوباً في عمليات التدقيق. ومع ذلك، فإن معايير التدقيق لا تشترط برنامجاً باهظاً من طرف ثالث، بل تتطلب وجود آلية موثقة ومطبقة لإدارة الأصول. محاضر الفحص الشهرية التي تعدونها داخلياً كافية تماماً لأغراض التدقيق.

طيب هل الخادم المنسي كان يحتوي على بيانات حقيقية للعملاء، أم مجرد بيانات تجريبية وهمية؟ إذا كان هناك احتمال لتسرب بيانات حقيقية للعملاء، فقد يتطلب الأمر التركيز على الاستجابة للحادث والالتزامات القانونية للإبلاغ قبل البحث عن أدوات، هل تحققتم من هذا الأمر؟

أكتب هذا حتى لا تكرروا نفس الخطأ. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أنا في نفس الوضع، لذلك أسأل. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

مثبت بالتجربة.

عشنا تقريباً نفس التجربة العام الماضي. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

أنت محق تمامًا... محاولة فعل هذا بمفردك هي أغلى الطرق.

دعني أتركها كملاحظة، قد تكون مفيدة.

دعوني ألخص ما قيل حتى الآن. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

لهذا النهج ثمن، لكنه لا يُناقش. يعني تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أوافق. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أنا أيضًا أوافق على هذا الرأي. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

عانيت من نفس الشيء.. ثم الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

إذا دخلنا في التفاصيل: الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء. على كل حال بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أنت محق، لقد مررت بنفس المسار. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.