جربنا أدوات اختبار الاختراق للبحث عن ثغرات في خادمنا — هل نثق بالنتائج ولا داعي للهلع؟

أعمل في هذا المجال منذ سنوات، ولا يوجد أحد يشغل أداة فحص تلقائي ولا يرى عشرات الثغرات الحرجة على الشاشة. هذه الأدوات مصممة لإخافة المطور وإعداده لأسوأ السيناريوهات. اهدأ، واشرح لمديرك أن هذا مجرد فحص أولي وأن كل تحذير لا يعني خطراً حقيقياً.

فلتر يمكنك تطبيقه فوراً: قم بفحص المنافذ من عنوان IP الخارجي الخاص بك. أي خدمة لا يمكن الوصول إليها من الإنترنت لا تضع تحذيراتها في الأولوية. فقط راجع منافذ الويب المفتوحة للخارج أو بوابات VPN إن وجدت، وستجد أن قائمتك تقلصت بنسبة تسعين بالمائة على الفور.

هل بدأت الفحص من داخل نفس الشبكة المحلية للخادم، أم من خط إنترنت خارجي مستقل تماماً؟ إذا قمت بالفحص من الشبكة الداخلية، فربما اعتبرت الأداة جميع عمليات الوصول الداخلية وكأنها هجمات خارجية، وهذا يضخم النتائج بشكل مبالغ فيه.

الشهر الماضي، ظهر لنا 85 تحذيراً حرجاً على خادمنا في فحص مماثل. قمنا بالتحقق منها واحداً تلو الآخر لمدة ثلاثة أيام؛ 2 فقط كان يمكن استغلالهما عن بُعد بالفعل، والـ 83 المتبقية كانت إنذارات كاذبة ناتجة عن ترويسات الإصدارات.

أدوات الأتمتة تنتج الكثير من الضجيج عادة. على كل حال قم بإخفاء معلومات الإصدار في ترويسات استجابة خادم الويب، وأعد نفس الفحص مرة أخرى؛ سترى أن نصف التحذيرات اختفى لمجرد إخفاء تلك الترويسة.

الاعتقاد بأن الضغط على زر في أداة مجانية يُعد اختبار اختراق هو خطأ فادح. هذه الأدوات ليست سوى قائمة تحقق سطحية. اختبار الاختراق الحقيقي هو اختبار يدوي لمعرفة ما إذا كان يمكن استغلال تلك الثغرة لرفع الصلاحيات أو تسريب البيانات على النظام أم لا.

نظف التقرير باتباع هذه الخطوات الثلاث: 1) استبعد من التقرير الخدمات غير المفتوحة للوصول الخارجي، 2) تحقق مما إذا كانت أكواد الاستغلال العامة للثغرات المتبقية منتشرة على الإنترنت، 3) قم بإيقاف لافتات الإصدارات وتحديث تصحيحات الأمان لنظام التشغيل.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

كنت أفكر في إجراء فحص مماثل أيضاً، لكن ما معنى الإيجابية الكاذبة بالضبط؟ يعني هل الأداة تخطئ عندما تقول إن هناك ثغرة، ولماذا تظهر ثغرة غير موجودة أصلاً على أنها موجودة؟

ملخص سريع للجدد: أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

أتابع الموضوع. يعني فعل الجميع لشيء ما لا يعني أنه صحيح.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

عانيت من نفس المشكلة قبل عامين. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

موضوع في الوقت المناسب تمامًا.

أكتب هذا حتى لا تكرروا نفس الخطأ. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

بعد تجربة ذلك، تغيرت نظرتي للأمور. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

أتمنى أن يفيدك هذا.

أحسنت في فتح هذا العنوان.

تشتت النقاش، دعني ألخصه. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

دعني أشرح كيف يتم التطبيق عملياً. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. مثبت بالتجربة.