طلبوا اختار اختراق (pentest) للمناقصة: ما هو بالضبط ومتى يستحق ذلك؟

تحقق من نوع الاختبار في المواصفات. Black-box هو الاختبار الذي يتم دون تقديم أي معلومات عن النظام، أما Grey-box فهو الأسلوب الذي يتم فيه تقديم حساب مستخدم وفحص الواجهة وثغرات التفويض. عادة ما تطلب البلديات Grey-box.

العام الماضي دفعنا 5.200 EUR وأجرينا اختباراً لمشروع مماثل في مدريد. وجدوا ثغرتين حرجتين لتجاوز الصلاحيات في الكود الذي كتبناه؛ كان بإمكان شخص خارجي رؤية مستندات المستخدمين الآخرين. فزنا بالمناقصة ولكن الأهم من ذلك أننا نجونا من فضيحة بيانات محتملة.

هناك أماكن في السوق تقدم سعراً بـ 1.500 EUR وتشغل فقط أداة فحص مفتوحة المصدر وتزخرف التقرير بالذكاء الاصطناعي. المؤسسات الحكومية تستبعد مثل هذه التقارير السطحية فوراً عند المراجعة، وتذهب أموالك هباءً.

حدد النطاق (scope) جيداً عند طلب العروض. اطلب عرض سعر للوحدة والمجموعات المتعلقة بالمناقصة فقط. إذا أدخلت شبكة الشركة بأكملها في الاختبار، فتتضاعف التكلفة وتستنزف ميزانيتك بلا داعٍ.

تتكون العملية عادة من ثلاث خطوات: 1) تحديد النطاق والعقد. 2) محاكاة الهجوم والإبلاغ عن الثغرات. 3) اختبار التحقق الذي يتم بعد إغلاقك للثغرات. تريد المؤسسات رؤية الثغرات المغلقة في التقرير النهائي.

للأسف، لو هتشتغل مع القطاع الحكومي فده بقى إجراء قياسي خلاص. نصيحتي ليك متعتبرش ده مصاريف بتدفع مرة واحدة، اعتبره تكلفة ضبط جودة للقالمنتج.

هما وهما بيعملوا الاختبار ده بيشتغلوا على بيئة تجريبية ولا بيهجموا على السيرفر الحي؟ هل في خطر إن السيستم يقع أو بيانات العملاء تتبهدل أثناء الاختبار؟

فاهمك جداً، الميزانية بتبان كبيرة في الأول. بس وأنت بتبيع برمجيات للقطاع الحكومي، الشهادات الأمنية المحايدة دي بتقوي موقفك جداً في المفاوضات زيها زي تقييمات العملاء، متقلقش.

أعتقد أن الحديث بهذه القطعية في جانب ما هو pentest صعب. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

هذا العنوان مؤرشف.

وكيف حللتم هذه النقطة؟ بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

أحسنت، بارك الله في جهدك. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر. دعني أتركها كملاحظة، قد تكون مفيدة.

بعد تجربة ذلك، تغيرت نظرتي للأمور. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

بالتوفيق.

صحيح.

أنا في نفس الوضع، لذلك أسأل. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أنا أيضًا أوافق على هذا الرأي. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار... دعني أتركها كملاحظة، قد تكون مفيدة.

حدث معي العكس تماماً، لذلك أكتب هذا. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر. مثبت بالتجربة.

موضوع في الوقت المناسب تمامًا.